JVNDB-2026-020969

vLLMにおける指定されたタイプの入力に対する不適切な検証に関する脆弱性

vLLMは大規模言語モデル（LLM）の推論およびサービスエンジンです。0.23.1rc0以前のバージョンでは、温度の検証ゲートに比較演算子（、）を使用していましたが、PythonのIEEE 754浮動小数点セマンティクスにおいてNaNおよび正の無限大に対しては静かにFalseと評価されます。これらの両方の値はすべてのガードを通過し、GPUサンプリングカーネルに伝播されます。そこで未定義の動作やCUDAエラーを引き起こし、推論ワーカーをクラッシュさせる可能性があります。この脆弱性は0.23.1rc0で修正されました。

vLLM

• vLLM 0.23.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : temperature=NaN and temperature=Infinity bypass validation and propagate to GPU kernels  Advisory  vllm-project/vllm  GitHub

1. 指定されたタイプの入力に対する不適切な検証(CWE-1287) [その他]

1. CVE-2026-54235

1. National Vulnerability Database (NVD) : CVE-2026-54235
2. 関連文書 : [Security] Reject non-finite temperature and repetition_penalty values by jperezdealgaba  Pull Request #45116  vllm-project/vllm  GitHub
3. 関連文書 : [Security] Reject non-finite temperature and repetition_penalty value…  vllm-project/vllm@d598d23  GitHub

• [2026年06月26日]
    掲載