何が起きたか
vLLMの画像パスは、デコーダー選択を制限せずに攻撃者制御のバイトをPillowに渡したため、一見無害な画像がvLLMが呼び出す意図のなかった外部レンダラー（EPS/PostScript用のGhostscript）によってデコードされ、脆弱なGhostscriptを持つホスト上でのコード実行、またはPillow 12.0.0–12.2.0でのワーカー枯渇を引き起こす可能性があった。修正（コミット710ac56eで検証）は画像形式の許可リストを追加し、PostScriptペイロードを拒否する。CVSS 8.1。
なぜ重要か
これはコアLLM推論エンジンにおけるリモートでトリガー可能なRCE/混乱経路である。単一の細工された画像リクエストでプロセスの権限に到達するか、メディアワーカーを枯渇させることができる。マルチパート/マルチモーダルサービングはvLLMでデフォルトで公開されているため、影響範囲は画像入力を受け入れるすべてのデプロイメントである。
攻撃経路
ImageMediaIOは、デコーダー選択を制限せずにImage.open(BytesIO(data))を介して攻撃者制御の画像バイトをPillowに渡し、MIMEラベルは選択された形式を制約しない。画像対応のリクエストパス（parse_image/fetch_image）はしたがってEPS/PostScriptペイロードをホストにディスパッチできる。脆弱なGhostscriptを持つホストはvLLMプロセスの権限でコマンドを実行し、Pillow 12.0.0–12.2.0はメディアロードワーカー枯渇をトリガーする。
影響を受けるシステム
vLLM 0.32.0より前。RCEはホストがCVE-2024-29510の影響を受けるPillowインストール済みGhostscriptを持っていることに依存する。ワーカー枯渇はPillow 12.0.0–12.2.0（CVE-2026-59203）に依存する。
緩和策
vLLM 0.32.0以降にアップグレードする。これにより画像形式の許可リストが追加され（EPS/WMF/BUFR/GRIB/HDF5/MPEGを除外）、PostScriptバイトが外部レンダラーに到達しない。また、GPUホストのPillowとGhostscriptがパッチ済みであることを確認する。