CVE-2025-59425
Publiée le 2025-10-07 · Dernière modification le 2026-10-19
Les moteurs d'inférence vLLM servant de grands modèles de langage sont concernés s'ils utilisent la validation de clé API intégrée. Un attaquant non authentifié disposant d'un accès réseau peut potentiellement contourner l'authentification et accéder à votre modèle en utilisant une attaque temporelle pour deviner la clé API caractère par caractère. Cela ne nécessite aucune interaction de l'utilisateur, bien que cela implique l'envoi de nombreuses requêtes automatisées pour mesurer précisément les temps de réponse.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
vLLM is an inference and serving engine for large language models (LLMs). Before version 0.11.0rc2, the API key support in vLLM performs validation using a method that was vulnerable to a timing attack. API key validation uses a string comparison that takes longer the more characters the provided API key gets correct. Data analysis across many attempts could allow an attacker to determine when it finds the next correct character in the key sequence. Deployments relying on vLLM's built-in API key validation are vulnerable to authentication bypass using this technique. Version 0.11.0rc2 fixes the issue.