vLLM 0.10.2-0.24.9 受 CVE-2026-116177 攻擊，可因解壓縮炸彈導致 OOM-kill
CVE-2026-116177 - vLLM 0.10.2 before 0.25.0 DoS via Nemotron-VL Processor Decompression-Bomb Guard Bypass
vLLM 0.10.2-0.24.9 受 CVE-2026-116177 漏洞影響，攻擊者可提交解壓縮炸彈影像至 /v1/chat/completions 造成 OOM-kill，導致服務中斷。
此漏洞可導致 vLLM 服務因記憶體耗盡而宕機，攻擊者可傳送解壓縮炸彈影像至 /v1/chat/completions，導致 OOM-kill，更新至 0.25.0 或更高版本即可修復，建議持續監控系統記憶體使用並檢查 Image.MAX_IMAGE_PIXELS 設定，避免多租戶服務中斷，並確認更新後版本已修補此漏洞。
譯文尚未完整，完整內容請切換至原文。
vLLM 0.10.2 之前至 0.25.0 的版本包含未受控資源消耗漏洞，允許未經授權的攻擊者耗盡記憶體，因為 Nemotron-VL 處理器全域將 Image.MAX_IMAGE_PIXELS 設為 None。攻擊者可提交一張病態解壓縮炸彈圖片至 /v1/chat/completions，造成工作者 OOM-kill，並拒絕共租戶的服務。
影響
受影響產品
以下產品受 CVE-2026-116177 漏洞影響。即使 cvefeed.io 知道受影響產品的確切版本，資訊亦未在下表中呈現。
| ID | 供應商 | 產品 | 行動 |
|---|---|---|---|
| 1 | Vllm-project | vllm | |
| 1 | Vllm | vllm |
Common Vulnerability Scoring System（CVSS）是一套標準化框架，用於評估軟體與系統漏洞的嚴重性。我們蒐集並顯示各來源的 CVSS 分數，供每個 CVE 使用。
| 分數 | 版本 | 嚴重性 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | 高 | 83251b91-4cc7-4094-a5c7-464a1b83ea10 | ||||
| CVSS 3.1 | 高 | MITRE-CVE | ||||
| CVSS 3.1 | 高 | [email protected] | ||||
| CVSS 4.0 | 高 | 83251b91-4cc7-4094-a5c7-464a1b83ea10 | ||||
| CVSS 4.0 | 高 | [email protected] |
更新 vLLM 至能解決未受控資源消耗漏洞的版本。
- 更新 vLLM 至 0.25.0 或更高版本。
- 更新後監控系統記憶體使用量。
此處提供一份精選外部連結，包含針對 CVE-2026-116177 的深入資訊、實用解決方案與寶貴工具。
雖然 CVE 會識別特定漏洞例項，CWE 則將可導致漏洞的共通缺陷或弱點分類。CVE-2026-116177 與下列 CWE 相關聯：
Common Attack Pattern Enumeration and Classification
(CAPEC)
儲存攻擊模式，這些模式是敵對者利用 CVE-2026-116177 漏洞所採用的常見屬性和方法的描述。
我們掃描 GitHub 倉庫以偵測新的概念驗證漏洞。以下列表是已在 GitHub 釋出的公開漏洞和概念驗證集合（按最近更新排序）。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下列表是文章中提及 CVE-2026-116177 漏洞的新聞。
以下表格列出了 CVE-2026-116177 漏洞隨時間所做的變更。
漏洞歷史細節對於瞭解漏洞的演變以及識別可能影響漏洞嚴重性、可利用性或其他特徵的最新變更很有用。
-
新增 CVE 已接收 由 [email protected]
十月. 25, 2026
動作 型別 舊值 新值 新增 描述 vLLM 從 0.10.2 直到 0.25.0 之前包含一個不受控制的資源消耗漏洞，允許未經驗證的攻擊者耗盡記憶體，因為 Nemotron‑VL 處理器全域將 Image.MAX_IMAGE_PIXELS 設為 None。攻擊者可以提交一個惡意解壓縮炸彈影像到 /v1/chat/completions，導致工作者 OOM 終止並拒絕同租戶的服務。 新增 CVSS V4.0 AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X 新增 CVSS V3.1 AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H 新增 CWE CWE-400 新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/116xxx/CVE-2026-116177.json">CVE-2026-116177</a> 新增 參考 https://github.com/vllm-project/vllm/security/advisories/GHSA-mm38-5g96-7j6x 新增 參考 https://www.vulncheck.com/advisories/vllm-0.10.2-before-0.25.0-dos-via-nemotron-vl-processor-decompression-bomb-guard-bypass
EPSS 是每日估計在接下來 30 天內觀察到利用活動的機率。以下圖表顯示該漏洞的 EPSS 分數歷史。