1. ملخص CVE

ملاحظة صادقة: وصف CNA هو فقط path traversal ← DoS بدون تفاصيل. هذه الكتابة تعيد بناء موقع الخلل عبر diff r26.05..r26.06 والاختبار المباشر في حاوية 26.05-py3.

2. بيئة المختبر

الصورة: nvcr.io/nvidia/tritonserver:26.05-py3 (TRITON_VERSION 2.69.0)

Compose دائمًا explicit (مُعدّل في هذا المستودع):

run_triton.bat:10، run_triton.ps1:11، run_triton.sh:12 أيضًا explicit.

وضع Triton:

• NONE (الافتراضي upstream) ← تحميل مرة واحدة عند البدء، POST /v2/repository/models/.../load ← 503، يجب إعادة التشغيل لتحميل نموذج جديد.
• POLL ← فحص المستودع كل ثانية، تحميل تلقائي، يظل يحظر التحميل الصريح.
• EXPLICIT (هذا المستودع) ← لا يفحص، لكنه يفتح gRPC load_model / POST /load ← PoC بدون إعادة تشغيل عبر gRPC.

المنافذ: | 8000 | HTTP REST | v2/health، v2/models، v2/repository | | 8001 | gRPC | RepositoryModelLoad، ModelInfer | | 8002 | Metrics | Prometheus |

النموذج الأولي:

بدء سريع:

3. تشريح الثغرة

• إذا كان join بدون canonicalize أو فحص rfind(parent,0)==0 خاطئ (مطابقة جزئية /models مقابل /models_evil)، فإن ../ يمكن أن يهرب.
• DoS يحدث إذا كان الملف المُجتاز هو FIFO أو /dev/zero أو /proc/self/mem أو tar يحتوي على ../../ يكتب فوق ملفات النظام ← تعليق / OOM / انهيار.

ثلاثة أسئلة بحثية (من التقرير الأولي):

1. أين يتحكم المستخدم في المسار؟ ← model_name في gRPC RepositoryModelLoad، EXECUTION_ENV_PATH tar entry، تجاوز file:، TRITON_BATCH_STRATEGY_PATH.
2. كيف يُستخدم المسار؟ ← posixpath.join(repo, model_name) / temp_dir + "/" + file_name + IsChildPathEscapingParentPath.
3. ما التأثير؟ ← DoS عبر استنزاف الموارد / التعليق. في هذا المستودع يُثبت كتابة ملف إلى /tmp/poc_marker.

4. تحليل السبب الجذري (Diff 26.05 ← 26.06)

مستودع core (r26.05..r26.06):

1. src/filesystem/api.cc:407 IsChildPathEscapingParentPath — إصلاح dcb315d + 72f3d9b:

   root@kitploit:~

   // VULN (r26.05):
   absolute_child.rfind(absolute_parent,0) != 0
   // ← خطأ مطابقة جزئية: بادئة "/models" من "/models_evil/file" تُعتبر داخلية
   
   // FIXED (r26.06):
   canonical_child.find(canonical_parent,0)==0 &&
   ((child.size() > parent.size() && child[parent.size()]=='/') || child.size()==parent.size())
   // ← يجب أن يكون '/' بعد البادئة، "/models_evil" الآن خارجي بشكل صحيح
   

   يُستخدم في src/backend_model.cc:196 (TRITON_BATCH_STRATEGY_PATH) وsrc/model_repository_manager/model_repository_manager.cc:162 (file:).

2. src/model_repository_manager/model_repository_manager.cc:62 ValidateModelName — core#472/#481 (مارس 2026، موجود في 26.05 لكن تم تشديده في 26.06):

   root@kitploit:~

   if (trimmed==".." || trimmed.find('/')!=npos) return INVALID_ARG "must not contain path traversal"
   

   هذا ما يجعل gRPC load_model('../tmp/pwn') ← 400 INVALID_ARGUMENT في 26.05 (محظور بالفعل). لكن %2f (المشفر /) يمر لأنه ليس / حرفيًا ← 500 فحص حرفي.

3. python_be.cc:292 EXECUTION_ENV_PATH — e520f8c7 اختبار zipslip_test.py: يتم استخراج tar بدون فحص .. / المسارات المطلقة. إدخال ../../poc_marker من /models/poc_exploit/malicious_env.tar.gz يُستخرج إلى /tmp/poc_marker (خارج مجلد النموذج). الإصلاح في 26.06: استخدام ARCHIVE_EXTRACT_SECURE_NODOTDOT|NOABSOLUTEPATHS + فحص IsChildPathEscapingParentPath.

مستودع server (r26.05..r26.06): فقط sagemaker_server.cc:1027 (فحص RE2::FullMatch) + http_server.cc:2440 (atoi→stoi)، ليس مسار هذه CVE.

الخلاصة: مسار model_name عبر HTTP/gRPC محظور بالفعل في 26.05 بواسطة ValidateModelName، لكن Zip-Slip tar لم يكن محظورًا — وهذا ما يستغله PoC في هذا المستودع.

5. مسارات الاستغلال: أيها يتأثر فعلاً؟

تشبيه 500 مقابل 400 في الكتابة القديمة خاطئ: 500 = الملف غير موجود (الباب غير موجود)، 400 = مرفوض بالتحقق (الباب مقفل). كلاهما لا يدخل. فقط 200 + ملف في /tmp هو الدليل.

6. PoC الرئيسي: Zip-Slip عبر EXECUTION_ENV_PATH

الفكرة: معامل Python backend EXECUTION_ENV_PATH يشير إلى $$TRITON_MODEL_DIRECTORY/malicious_env.tar.gz. عند load_model('poc_exploit')، يستخرج backend pb_env.cc:292 tar بدون تنقية. إدخال ../../poc_marker يهرب من .../poc_exploit/ إلى /tmp/poc_marker.

خطوات PoC (تلقائية في scripts/exploit.py:28 وexploit.ps1:20):

1. نسخ echo_python ← poc_exploit (scripts/exploit.py:35)
2. إلحاق config.pbtxt (scripts/exploit.py:40):
   root@kitploit:~

   parameters: {key: "EXECUTION_ENV_PATH", value: {string_value: "$$TRITON_MODEL_DIRECTORY/malicious_env.tar.gz"}}
   

3. إنشاء tar (scripts/exploit.py:44):
   root@kitploit:~

   TarInfo(name='../../poc_marker', size=6, mode=0o644)  # ← /tmp/poc_marker
   TarInfo(name='bin/activate', mode=0o755)
   

4. تشغيل gRPC load_model('poc_exploit') (scripts/exploit.py:60) — بدون إعادة تشغيل بسبب explicit.
5. التحقق docker exec tritonserver-test cat /tmp/poc_marker ← pwned (scripts/exploit.py:81)

7. طريقة تشغيل PoC (بنقرة واحدة)

المتطلبات: Docker، صورة 26.05-py3 مع docker compose up -d (المستودع explicit بالفعل).

Python (بدون إعادة تشغيل، عبر gRPC):

PowerShell:

العودة إلى MODE_NONE (إذا أردت الافتراضي upstream):

اختبار الحظر (يجب أن يكون 400/404/500، وليس 200):

8. دليل الاجتياز (وليس 500 وهمي)

الثغرة (26.05) — مخرجات exploit.py:

التحقق:

المُصلَح (26.06) — المتوقع:

HTTP/gRPC .. يجب أن يكون 400، وليس 500:

9. تأثير DoS

CNA كتب DoS، لكن Zip-Slip هذا يمكن أن يكون كتابة فوق ملف ← DoS:

• الكتابة فوق model.py / config.pbtxt لنموذج آخر ← فشل تحميل النموذج ← 503
• tar يحتوي على bin/activate كبير أو FIFO /tmp/fifo ← تعليق خيط pb_env.cc ← UNAVAILABLE
• إغراق load_model بـ tar يحتوي ../../dev/zero (لا نهائي) ← OOM

هذا المستودع يركز على كتابة الملف كدليل على الاجتياز؛ يمكن توسيع DoS بـ tar يحتوي 1/model.py بحلقة لا نهائية.

10. التخفيف

1. التصحيح: 26.06 (server v2.70.0، core r26.06) — IsChildPathEscapingParentPath + ARCHIVE_EXTRACT_SECURE_NODOTDOT.
2. حل بديل لـ 26.05:
   • لا تعرض 8000/8001 للإنترنت (وكيل عكسي + مصادقة)
   • WAF يحظر .. و%2f في URL وEXECUTION_ENV_PATH
   • عطّل Python backend EXECUTION_ENV_PATH إذا لم يكن ضروريًا
3. الكشف: docker logs tritonserver-test | grep "Path contains\|failed to poll.*%2f"

11. هيكل المستودع (بعد التنظيف)

محذوف: exploit_cve_*.py، poc_zipslip_simple.py، check_mode.py، test_http_grpc_blocked.py، cleanup_poc.py، test_poc.ps1، null، model_repository/zipslip_*، /tmp/poc_marker.

12. المراجع والجدول الزمني

• النشرة NV 5865: https://github.com/NVIDIA/product-security/tree/main/2026/5865 (5865.md، CVE-2026-47627.json)
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-47627 (بانتظار التحليل)
• إصلاحات core r26.06: dcb315d (تحديث مسار الطفل)، 72f3d9b (اختبار مسار الطفل)، e520f8c7 (اختبار zipslip)، 50830ba/66f09f8 (ValidateModelName)
• إصلاح server r26.06: v2.70.0 (690f9dd)
• الفضل: Martin Brodeur

ملاحظات

هذا PoC لأغراض تعليمية ومختبر مغلق. لا تعرض 8000/8001 بدون مصادقة. دائمًا استخدم exploit.py --keep ثم docker exec tritonserver-test rm -f /tmp/poc_marker وRemove-Item -Recurse model_repository/poc_exploit بعد العرض التوضيحي.