CVE-2026-24207 — NVIDIA Triton SageMaker: Omisión de autenticación hacia RCE no autenticado

Los atacantes no autenticados pueden alcanzar la superficie de gestión de modelos del NVIDIA Triton Inference Server en los puertos HTTP de SageMaker y Vertex AI, omitiendo la configuración --http-restricted-api del operador. Combinado con la primitiva LOAD de SageMaker MME y un modelo de backend Python, esto permite ejecución remota de código previa a la autenticación como el usuario del proceso Triton cuando el atacante puede colocar archivos de modelo en una ruta del sistema de archivos legible por Triton.

• CVE: CVE-2026-24207 (SageMaker — PoC + cadena RCE) · CVE-2026-24206 (Vertex AI — gemelo estructuralmente idéntico, solo análisis)
• CWE-288 · CVSS 9.8 Crítico (CNA de NVIDIA) — NIST/NVD aún sin puntuar
• Vendedor: NVIDIA Corporation · Producto: Triton Inference Server
• Artículo: offseckit.com/blog/cve-2026-24207

Alcance. Los scripts de PoC reproducen CVE-2026-24207 (SageMaker) de extremo a extremo, incluida la cadena RCE no autenticada, verificada contra los contenedores oficiales NVIDIA NGC de NVIDIA. CVE-2026-24206 (Vertex AI) es la falla gemela estructuralmente idéntica, confirmada mediante la revisión del código fuente y del parche del PR #8680 (docs/root-cause.md, docs/patch-diff.md), no reproducida en laboratorio.

Versiones afectadas

Inicio rápido

Comprobar si un dispositivo está parcheado (defensores)

python3 detect.py <host:sagemaker_port>

Envía una única petición GET de solo lectura. Muestra PATCHED, VULNERABLE o UNKNOWN. No realiza cambios.

Entender la omisión (investigadores)

python3 bypass_demo.py <host:sagemaker_port>

Envía tres sondas: health (siempre tiene éxito), /models CON la cabecera de autenticación configurada (línea base autorizada) y /models SIN la cabecera (la omisión). Los códigos de respuesta lado a lado muestran la diferencia de comportamiento. No hay cambio de estado. Ver docs/root-cause.md.

Demostrar el impacto (solo pruebas autorizadas)

# Probe the model-management surface (enumerate + LOAD attempt + UNLOAD attempt)
python3 exploit.py <host:sagemaker_port>

# Full RCE chain — point Triton at a path you control on its filesystem
python3 exploit.py <host:sagemaker_port> --mode rce \
        --url /opt/ml/models/<your-attacker-dir> \
        --name chaindemo

El flujo --mode rce carga un modelo de backend Python desde una ruta proporcionada por el usuario. Si el directorio contiene un config.pbtxt válido

• model.py (ver example/ para una demostración benigna), el model.py se ejecuta como el usuario del proceso Triton — previo a la autenticación.

Ver docs/rce-chain.md para la mecánica de la cadena y los requisitos previos.

Archivos

Requisitos

Python 3.8+ y requests:

pip install requests

Créditos

Análisis independiente posterior al parche y PoC por 4252nez — artículo en OffSecKit. Las vulnerabilidades originales fueron reportadas por Hyeonjun Ahn (@deayzl) y acreditadas en el boletín de seguridad de NVIDIA de mayo de 2026; este repositorio no tiene afiliación con ese informe.

Licencia

MIT — ver LICENSE.