vLLM: OOM-краш движка через длинный аудиофайл в Phi-4 (CVE-2026-115913)

В движке вывода и обслуживания больших языковых моделей vLLM обнаружена уязвимость, позволяющая удалённому клиенту вывести из строя экземпляр сервиса одним запросом. Проблема затрагивает мультимодальный аудиокодер Phi-4 и связана с нерациональным расходованием памяти GPU.

Подробности

Уязвимость присутствует в vLLM до версии 0.32.0 и затрагивает компоненты аудиокодера Phi-4, реализованные в файлах phi4mm_audio.py и phi4mm_utils.py. По умолчанию в них используется режим eager attention, при котором метод MultiHeadedAttention.forward_attention материализует и удерживает в памяти полные матрицы внимания (self.attn). Альтернативная ветка scaled dot-product attention таких матриц не создаёт. Из-за этого при обработке длинного аудиовхода потребление видеопамяти растёт квадратично относительно длины последовательности. Удалённому клиенту достаточно отправить один корректный аудиоклип максимальной допустимой длины, чтобы спровоцировать состояние out-of-memory. В результате происходит аварийное завершение EngineCore — и это затрагивает всех пользователей данного экземпляра, а не только автора запроса. То есть речь идёт о векторе отказа в обслуживании при штатном, не вредоносном на вид вводе. Уязвимости присвоен идентификатор CVE-2026-115913 и базовая оценка CVSS 6.5 (MEDIUM). Проблема исправлена в версии 0.32.0.

Что делать

Основная рекомендация — обновиться до vLLM 0.32.0 или более поздней версии, где исправление уже включено. Если немедленное обновление невозможно, стоит рассмотреть временные митигации: ограничить максимальную длину принимаемого аудио на уровне входной валидации и/или прокси, а также ужесточить лимиты на размер запросов и параллелизм для мультимодальных эндпоинтов. Дополнительно имеет смысл изолировать экземпляры, обслуживающие Phi-4, и настроить мониторинг памяти GPU с автоматическим оповещением о резких скачках потребления — это поможет быстрее обнаруживать попытки эксплуатации. Отдельно проверьте, доступен ли в вашей конфигурации переход на scaled dot-product attention, поскольку эта ветка не материализует полные матрицы внимания. Также рекомендуется проанализировать журналы на предмет необычно длинных аудиозапросов к Phi-4 и оценить, не подвергался ли ваш сервис подобным воздействиям ранее. Итог: уязвимость не позволяет исполнять произвольный код, но даёт удалённому неаутентифицированному по своей сути клиенту возможность уронить общий движок вывода. Учитывая низкую сложность эксплуатации и влияние на всех пользователей экземпляра, обновление до 0.32.0 следует выполнить в приоритетном порядке.

Источник: CVE Project (cvelistV5)