EXPLOIT-CVE-2026-22778

Доказательство концепции эксплуатации для CVE-2026-22778 — неаутентифицированного RCE в обработке видео vLLM, демонстрирующего раскрытие адреса кучи и переполнение буфера кучи в декодере JPEG2000 FFmpeg. Включает уязвимую лабораторию для авторизованного тестирования.

Уязвимость

Две отдельные ошибки, объединённые в цепочку. Стандартный vllm serve не имеет аутентификации, поэтому обе достижимы без аутентификации на /v1/chat/completions и /v1/invocations.

Этап 1 — раскрытие адреса кучи (обход ASLR)

Когда изображение не удаётся разобрать, Pillow вызывает исключение, сообщение которого содержит repr() объекта BytesIO, из которого выполнялось чтение:

vLLM превращал ошибки загрузки медиа в HTTP 400 и возвращал exc.detail клиенту без изменений (api_server.py):

Этот единственный адрес снижает энтропию ASLR кучи с ~32 бит примерно до 3, что делает этап 2 эксплуатируемым, а не просто аварией.

Этап 2 — переполнение кучи в декодере JPEG2000

video_url загружается сервером и передаётся в OpenCV:

vLLM зафиксировал opencv-python-headless >= 4.11.0, который поставляет FFmpeg 5.1.x. Его декодер JPEG2000 выбирает целевую плоскость напрямую из блока определения каналов (cdef) файла — libavcodec/jpeg2000dec.c, write_frame_8:

plane контролируется атакующим, но w/h берутся из декодируемого компонента, и ничто не проверяет, что одно помещается в другое. Запись cdef вида cn=0, asoc=2 отправляет компонент 0 — плоскость яркости полного разрешения — в плоскость 1, плоскость цветности с субдискретизацией 2×2.

Для кадра 150×64, используемого в этом PoC:

FFmpeg выделяет каждую плоскость как отдельный AVBuffer, поэтому переполнение проходит через соседние фрагменты кучи — включая структуры AVBuffer, содержащие указатель на функцию free. В сочетании с утечкой с этапа 1 перезапись этого указателя превращает повреждение памяти в выполнение кода.

Этот PoC останавливается на повреждении памяти. Он доказывает запись за пределами буфера, убивая процесс сервера. Подготовка кучи и перезапись указателя на функцию намеренно не реализованы.

Лаборатория

lab/app.py — минимальная реimplementation пути мультимодального приёма данных vLLM 0.13.0 — MediaConnector, ImageMediaIO, OpenCVVideoBackend и обработчик ошибок до патча, каждый с аннотацией исходного файла, который он повторяет. Среда выполнения модели заглушена: уязвимость полностью находится в приёме медиа, который выполняется до инференса и не требует GPU или весов модели.

Всё на пути атаки — настоящее: тот же вызов Pillow, который утекает адрес, и тот же вызов cv2.VideoCapture в непатченный opencv-python-headless==4.11.0.86 (FFmpeg 5.1.x, libavcodec 59.37.100).

Использование

Опции:

Эксплойт использует только стандартную библиотеку — без зависимостей.

Ожидаемый вывод

И на стороне сервера:

Остановка:

Полезная нагрузка

203 байта, созданные с нуля в build_payload(). Контейнер JP2, содержащий минимальный кодовый поток JPEG2000, объявляющий три компонента с субдискретизацией 4:2:0 (чтобы FFmpeg выделил кадр yuv420p), плюс блок cdef, который переназначает их:

Данные коэффициентов пусты. Декодер всё равно выделяет кадр из заголовка SIZ и всё равно выполняет цикл записи, поэтому реальные данные изображения не нужны.

Исправление

vLLM 0.14.1, через три PR:

• #31987 — добавляет sanitize_message(), удаляющую at 0x<addr>> из repr объектов до того, как они попадут к клиенту.
• #32319 — пропускает оставшиеся пути ошибок через неё.
• #32668 — поднимает opencv-python-headless до >= 4.13.0, включая исправление FFmpeg для CVE-2025-9951.

Апстрим-FFmpeg теперь отклоняет карту cdef, которая не является перестановкой каналов, и выводит пиксельный формат из переназначенных индексов:

Замена фиксации лаборатории на opencv-python-headless>=4.13.0 заставляет ту же полезную нагрузку безвредно завершаться с ошибкой error during processing marker segment ff51.

Если вы не можете обновиться: не обслуживайте видеомодели, включите аутентификацию перед API и ограничьте загрузку медиа с помощью --allowed-media-domains.

Примечания

• Лаборатория автоматически перезапускается после каждого сбоя, поэтому PoC можно запускать многократно.
• На Apple Silicon позвольте docker compose собирать для нативной архитектуры arm64 (по умолчанию). Принудительный --platform linux/amd64 запускает контейнер под эмуляцией, где аварийный процесс зависает вместо завершения, и сбой труднее наблюдать.

Ссылки

• NVD — CVE-2026-22778
• Advisory vLLM — GHSA-4r2x-xpjr-7cvv
• Advisory FFmpeg — GHSA-39q3-f8jq-v6mg (CVE-2025-9951)

Отказ от ответственности

Только для образовательных целей и авторизованного тестирования безопасности. Запускайте его против лаборатории в этом репозитории или систем, на тестирование которых у вас есть явное разрешение.