概要
LLM 推論フレームワーク vLLM（バージョン 0.10.2 以上 0.13.0 未満）のマルチモーダル埋め込み処理において、スパーステンソルの検証が欠落しています。PyTorch はデフォルトでスパーステンソルの不変条件チェックを無効にしており、prompt-embeds 機能が有効な場合、攻撃者は負のインデックスや範囲外インデックスを持つ不正な埋め込みリクエストを送信することでクラッシュ、リソース枯渇（DoS）、および潜在的なメモリ破壊を引き起こせます。
本脆弱性は CVE-2025-62164 の不完全な修正を継続するものです。以前の修正はデフォルトで機能を無効にするだけで根本原因に対処していませんでした。
CVSSベクトル
| 項目 | 値 |
|---|---|
| スコア | 8.8 (HIGH) |
| Attack Vector | Network |
| Attack Complexity | Low |
| Privileges Required | Low |
| User Interaction | None |
| Scope | Changed |
| Confidentiality | High |
| Integrity | High |
| Availability | High |
影響を受けるソフトウェア
| 製品 | ベンダー | バージョン |
|---|---|---|
| vLLM | vllm-project | >= 0.10.2, < 0.13.0 |
修正バージョンと回避策
- 修正バージョン: vLLM 0.13.0 以降
- 回避策:
prompt-embeds機能を無効にする（デフォルトでは無効のため、明示的に有効にしていない場合は影響を受けない可能性がある）
関連リンク
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。