JVNDB-2026-021421

vLLMにおける非効率的な正規表現の複雑さに関する脆弱性

vLLMのバージョン0.6.3以上かつ0.9.0未満には、複数の正規表現によるサービス拒否（ReDoS）脆弱性があります。vllm/lora/utils.py、phi4miniツールのパーサー、およびOpenAI対応のチャットエンドポイントにあるいくつかの正規表現パターンが、壊滅的なバックトラッキングに対して脆弱です。攻撃者はネストや繰り返し構造を含む細工された入力を送信することで、深刻なCPU消費とパフォーマンス低下を引き起こし、サービス拒否状態をもたらす可能性があります。

vLLM

• vLLM 0.6.3 以上 0.9.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : A series of simple Redos in vllm.  Advisory  vllm-project/vllm  GitHub

VulnCheck

• VulnCheck : vllm - Regular Expression Denial of Service in Multiple Components  | Advisories | VulnCheck

1. 非効率的な正規表現の複雑さ(CWE-1333) [その他]

1. CVE-2025-71379

1. National Vulnerability Database (NVD) : CVE-2025-71379

• [2026年06月29日]
    掲載