JVNDB-2026-022823

vLLMにおける非効率的な正規表現の複雑さに関する脆弱性

vLLMは、LLM向けの高スループットかつメモリ効率の良い推論およびサービングエンジンです。バージョン0.24.0以前では、structured_outputs.regex APIパラメータはユーザー提供の正規表現文字列をコンパイルタイムアウトなしで直接文法コンパイラのバックエンドに渡していました。xgrammarバックエンドでは文字列がガードなしで正規表現コンパイラに渡され、outlinesバックエンドではルックアラウンドや後方参照などの構造的な問題が検証ステップでブロックされますが、複雑性解析は行われていませんでした。そのため、ネストされた量指定子を含むパターンはすべてのチェックを通過し、指数関数的な状態空間の拡大を引き起こします。結果として、敵対的な正規表現を含む単一のリクエストが推論ワーカーを無期限にハングさせ、サービス拒否を引き起こす可能性がありました。この問題はバージョン0.24.0で修正されています。

vLLM

• vLLM 0.24.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : ReDoS via structured_outputs.regex compiled without timeout in xgrammar and outlines backends  Advisory  vllm-project/vllm  GitHub

1. 非効率的な正規表現の複雑さ(CWE-1333) [その他]

1. CVE-2026-55574

1. National Vulnerability Database (NVD) : CVE-2026-55574
2. 関連文書 : [Security] Add timeout guard for regex compilation in structured outp… by jperezdealgaba  Pull Request #45118  vllm-project/vllm  GitHub
3. 関連文書 : [Security] Add timeout guard for regex compilation in structured outp…  vllm-project/vllm@2b30060  GitHub

• [2026年07月09日]
    掲載