vLLM /tokenize를 통한 인증되지 않은 RCE — 클라이언트가 선택한 code_revision으로 악성 프로세서 코드 가져오기 (CVE-2026-114053)

GitHub 권고(10월 21일 게시)에 대해 검증됨: vLLM은 trust_remote_code가 켜져 있을 때 클라이언트가 모델의 동적 프로세서 코드의 어떤 리비전을 가져올지 제어할 수 있게 하며, 인증되지 않은 /tokenize 엔드포인트가 트리거입니다. 단일 멀티모달 요청이 서빙 프로세스에서 임의의 Python을 실행합니다. 시드의 NVD 설명과 권고는 영향을 받는 범위 0.7.3–<0.31.0 및 CWE-94 코드 주입에 대해 일치합니다.

공개 vLLM 서빙 엔드포인트는 종종 인터넷에 노출됩니다(OpenAI 호환 /v1 및 /tokenize 노출). 이는 원격 요청을 추론 호스트에서의 완전한 코드 실행으로 전환합니다: 모델 가중치 탈취, env/config에서 공급자 API 키 탈취, GPU 클러스터로의 측면 이동.

인증되지 않은 공격자는 mm_processor_kwargs.code_revision을 포함하는 멀티모달 요청을 보냅니다. vLLM은 요청에 제공된 리비전을 Transformers AutoProcessor.from_pretrained로 전달합니다. trust_remote_code가 활성화되고 서빙된 모델 저장소에 악성 리비전이 포함된 경우, 요청은 인증되지 않은 /tokenize 엔드포인트를 통해 vLLM API 프로세스에서 임의의 Python을 실행합니다.

vLLM 0.7.3 – <0.31.0 (0.31.0에서 수정됨)

vLLM을 0.31.0으로 업그레이드하십시오(더 넓은 멀티모달 물결을 위해 0.32.0 권장). 가능한 경우 trust_remote_code를 비활성화하거나 프로세서 코드를 고정되고 검토된 리비전으로 제한하십시오. 권고: GHSA-f623-hjm8-5wg5.