CVE-2026-24207 — تجاوز المصادقة في NVIDIA Triton SageMaker إلى تنفيذ التعليمات البرمجية عن بُعد غير موثّق

يمكن للمهاجمين غير الموثّقين الوصول إلى سطح إدارة النماذج لـ NVIDIA Triton Inference Server على منافذ HTTP الخاصة بـ SageMaker وVertex AI — متجاوزين تكوين المشغل --http-restricted-api. وبالاقتران مع أولية تحميل MME الخاصة بـ SageMaker ونموذج خلفية بايثون، يتيح ذلك تنفيذ التعليمات البرمجية عن بُعد قبل المصادقة كمستخدم عملية Triton عندما يتمكن المهاجم من وضع ملفات النموذج على مسار نظام ملفات قابل للقراءة بواسطة Triton.

• CVE: CVE-2026-24207 (SageMaker — إثبات المفهوم + سلسلة RCE) · CVE-2026-24206 (Vertex AI — شقيق متطابق هيكليًا، تحليل فقط)
• CWE-288 · CVSS 9.8 حرج (NVIDIA CNA) — NIST/NVD لم يسجل بعد
• البائع: NVIDIA Corporation · المنتج: Triton Inference Server
• الشرح: offseckit.com/blog/cve-2026-24207

النطاق. تعيد نصوص إثبات المفهوم إنتاج CVE-2026-24207 (SageMaker) بالكامل، بما في ذلك سلسلة RCE غير الموثّقة، تم التحقق منها مقابل حاويات NVIDIA NGC الرسمية. CVE-2026-24206 (Vertex AI) هو الخطأ الشقيق المطابق هيكليًا — تم تأكيده من خلال مراجعة المصدر/التصحيح لـ PR #8680 (docs/root-cause.md, docs/patch-diff.md)، ولم يتم إعادة إنتاجه في المختبر.

الإصدارات المتأثرة

بداية سريعة

التحقق مما إذا كان الجهاز مصححًا (للمدافعين)

python3 detect.py <host:sagemaker_port>

يرسل طلب GET واحد للقراءة فقط. يطبع PATCHED أو VULNERABLE أو UNKNOWN. لا يقوم بأي تغييرات.

فهم آلية التجاوز (للباحثين)

python3 bypass_demo.py <host:sagemaker_port>

يرسل ثلاثة استطلاعات — التحقق من الصحة (ينجح دائمًا)، /models مع رأس المصادقة المكوّن (أساسي مصرح به)، و /models بدون الرأس (التجاوز). تُظهر رموز الاستجابة جنبًا إلى جنب اختلاف السلوك. لا تغيير في الحالة. انظر docs/root-cause.md.

إظهار التأثير (اختبار مصرح به فقط)

# Probe the model-management surface (enumerate + LOAD attempt + UNLOAD attempt)
python3 exploit.py <host:sagemaker_port>

# Full RCE chain — point Triton at a path you control on its filesystem
python3 exploit.py <host:sagemaker_port> --mode rce \
        --url /opt/ml/models/<your-attacker-dir> \
        --name chaindemo

يقوم تدفق --mode rce بتحميل نموذج خلفية بايثون من مسار يوفره المستخدم. إذا كان الدليل يحتوي على config.pbtxt + model.py صالحين (انظر example/ للحصول على عرض توضيحي غير ضار)، فإن model.py يتم تنفيذه كمستخدم عملية Triton — قبل المصادقة.

انظر docs/rce-chain.md لآليات السلسلة والمتطلبات الأساسية.

الملفات

المتطلبات

Python 3.8+ و requests:

pip install requests

الإسناد

تحليل مستقل بعد التصحيح وإثبات المفهوم بواسطة 4252nez — شرح على OffSecKit. تم الإبلاغ عن الثغرات الأصلية بواسطة Hyeonjun Ahn (@deayzl) وتم نسبها في نشرة أمن NVIDIA لشهر مايو 2026؛ لا تعلق لهذا المستودع بهذا التقرير.

الرخصة

MIT — انظر LICENSE.