🇰🇷 한글 설명
vLLM 0.23.1rc0 이전 버전에서 ll temperature 검증 로직이 NaN 및 양의 무한대(Infinity) 값을 제대로 걸러내지 못하는 취약점이 발견되었습니다. 이러한 값이 GPU 샘플링 커널로 전달되면 정의되지 않은 동작을 유발하거나 CUDA 오류를 발생시켜 추론 워커를 중단시킬 수 있습니다.
💡 쉬운 설명
인공지능 모델을 실행하는 프로그램에서 잘못된 숫자(숫자가 아님 또는 무한대)를 입력받았을 때 이를 제대로 검사하지 못하는 문제입니다. 이로 인해 시스템이 갑자기 멈추거나 오류가 발생하여 서비스가 중단될 수 있습니다.
🇺🇸 원문 (English)
vLLM is an inference and serving engine for large language models (LLMs). Prior to 0.23.1rc0, ll temperature validation gates use comparison operators (<, >), which silently evaluate to False for NaN and for positive Infinity in Python's IEEE 754 float semantics. Both values pass every guard and propagate to GPU sampling kernels, where they produce undefined behavior or CUDA errors that can crash the inference worker. This vulnerability is fixed in 0.23.1rc0.
📍 영향받는 시스템
vLLM 0.23.1rc0 미만 버전
⚔️ 공격 벡터
사용자 입력값(temperature 파라미터)을 통해 NaN 또는 Infinity 값을 전달하여 서비스 거부(DoS) 유도
🛡️ 대응 방법
vLLM 버전을 0.23.1rc0 이상으로 업데이트
🔧 검증 코드
출력된 버전이 0.23.1rc0보다 낮은지 확인
pip show vllm | grep Version