vLLM：公开多模态 SHM 句柄伪造可在禁用不安全序列化时触达 worker 端 pickle.loads()
vLLM: Public multimodal SHM handle forgery reaches worker-side `pickle.loads()` with insecure serialization disabled
AI 导读
vLLM 发布安全公告 GHSA-6757-hggm-hp2w（CVE-2026-115912）：启用 --mm-processor-cache-type shm 时，0.32.0 之前的版本允许认证调用者通过公开 scale-out 请求伪造多模态 SHM 句柄，使 worker 端对攻击者预置在环形缓冲区的字节执行 pickle.loads()，最终在 worker 进程中执行任意 Python 代码。该链路经普通公开 HTTP 路由即可触达，无需开启 VLLM_ALLOW_INSECURE_SERIALIZATION=1；已验证的利用依次使用 /v1/chat/completions/render、/v1/chat/completions 和 /inference/v1/generate 三个接口，并使 EngineCore 健康检查从 200 降为 503。
推荐理由
即使未开启不安全序列化，认证调用者也能伪造 SHM 句柄在 vLLM worker 进程执行任意代码，部署方可以据此排查受影响版本。