JVNDB-2026-021210

vLLMにおける入力確認に関する脆弱性

vLLMのバージョン0.10.2以上0.13.0未満では、マルチモーダル埋め込み処理においてスパーステンソルの検証が欠如しています。PyTorchはデフォルトでスパーステンソルの不変条件チェックを無効にしているため、攻撃者はプロンプト埋め込み機能が有効な場合に悪意のある（負の値や範囲外の）テンソルインデックスを含む細工された埋め込みリクエストを送信して、クラッシュやリソース枯渇（サービス拒否）を引き起こし、範囲外の書き込みやメモリ破損（write-what-where）を誘発する可能性があります。この問題は、以前の修正が根本原因を解決せず、単に機能をデフォルトで無効化しただけであったために発生しました。

vLLM

• vLLM 0.10.2 以上 0.13.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Missing validation of multimodal embeddings leading to DoS and potential RCE  Advisory  vllm-project/vllm  GitHub

VulnCheck

• VulnCheck : vLLM - Denial of Service via Unvalidated Multimodal Embeddings  | Advisories | VulnCheck

1. 不適切な入力確認(CWE-20) [その他]
2. 情報不足(CWE-noinfo) [NVD評価]

1. CVE-2026-56340

1. National Vulnerability Database (NVD) : CVE-2026-56340

• [2026年06月29日]
    掲載