vLLM Rust gRPC 서비스가 검증되지 않은 어휘 외 프롬프트 토큰 ID를 EngineCore로 전달함

vLLM Rust gRPC Generate/GenerateStream 서비스는 프롬프트 token_ids를 모델 어휘에 대해 검증하지 않고 EngineCore로 전달합니다. 어휘 외 prompt token_ids가 포함된 요청은 치명적인 임베딩 조회를 유발하여 엔진을 크래시시킬 수 있습니다.

단일 잘못된 요청이 공유 엔진을 크래시시켜 다른 클라이언트의 서비스를 거부할 수 있음 (CVSS 5.9, CWE-20).

어휘 외 prompt token_ids가 포함된 요청을 보내 치명적인 임베딩 조회를 유발하고 엔진을 크래시시킵니다.

vLLM >= 0.22.0, < 0.24.0 (Rust gRPC Generate/GenerateStream).

vLLM 0.24.0으로 업그레이드하세요.