原文

vLLMは大規模言語モデル（LLM）の推論およびサービングエンジンです。バージョン0.1.0から0.19.0未満の間、vLLMのOpenAI互換APIサーバーにサービス拒否（DoS）脆弱性が存在していました。ChatCompletionRequestおよびCompletionRequestのPydanticモデルでnパラメータの上限検証が欠如していたため、認証されていない攻撃者が非常に大きなn値を持つ単一のHTTPリクエストを送信することが可能でした。これにより、Pythonのasyncioイベントループが完全にブロックされ、リクエストがスケジューリングキューに到達する前に数百万のリクエストオブジェクトコピーがヒープに割り当てられて即座にメモリ不足クラッシュが発生していました。この脆弱性はバージョン0.19.0で修正されています。