CVE-2026-47627 — NVIDIA Triton Inference Server Path Traversal → DoS (Zip-Slip)

Writeup complet des résultats de recherche & PoC dans ce repo (image nvcr.io/nvidia/tritonserver:26.05-py3 / server v2.69.0). Le repo est configuré pour être toujours explicit afin que le PoC fonctionne sans redémarrage via gRPC.

---

Table des matières

1. Résumé du CVE
2. Environnement de laboratoire
3. Anatomie de la vulnérabilité
4. Analyse de la cause racine (Diff 26.05 → 26.06)
5. Chemins d'exploitation : lesquels sont réellement vulnérables ?
6. PoC principal : Zip-Slip via EXECUTION_ENV_PATH
7. Comment exécuter le PoC (One-Click)
8. Preuve de traversal (pas un faux 500)
9. Impact DoS
10. Atténuations
11. Structure du repo (après nettoyage)
12. Références & chronologie

---

1. Résumé du CVE

Champ	Valeur
CVE	CVE-2026-47627
CNA	[email protected]
Publication	2026-08-18 (NVD en attente d'analyse)
Bulletin	NV 5865 → https://github.com/NVIDIA/product-security/tree/main/2026/5865
CVSS 3.1	9.8 CRITIQUE AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE	CWE-22 Path Traversal
Affecté	0.0-26.05 (server v2.69.0 / core r26.05)
Corrigé	26.06 (server v2.70.0 / core r26.06)
Impact	DoS (description CNA) — cette recherche prouve une écriture de fichier hors de /models via Zip-Slip, qui peut être étendue à un DoS/épuisement des ressources
Crédit	Martin Brodeur

Note honnête : La description CNA ne mentionne que path traversal → DoS sans détails. Ce writeup reconstruit l'emplacement du bug via le diff r26.05..r26.06 et des tests directs dans le conteneur 26.05-py3.

---

2. Environnement de laboratoire

Image : nvcr.io/nvidia/tritonserver:26.05-py3 (TRITON_VERSION 2.69.0)

Compose toujours explicit (déjà patché dans ce repo) :

# docker-compose.yml:12
command: ["tritonserver", "--model-repository=/models", "--model-control-mode=explicit", "--log-verbose=0"]

run_triton.bat:10, run_triton.ps1:11, run_triton.sh:12 sont également en explicit.

Mode Triton :

• NONE (défaut upstream) → chargement unique au démarrage, POST /v2/repository/models/.../load → 503, nécessite un redémarrage pour charger un nouveau modèle.
• POLL → scanne le repo chaque seconde, chargement auto, bloque toujours le chargement explicite.
• EXPLICIT (ce repo) → pas de scan, mais ouvre gRPC load_model / POST /load → PoC sans redémarrage via gRPC.

Ports : | 8000 | HTTP REST | v2/health, v2/models, v2/repository | | 8001 | gRPC | RepositoryModelLoad, ModelInfer | | 8002 | Metrics | Prometheus |

Modèles initiaux :

model_repository/
├── echo_python/ (python backend, model.py)
│   └── 1/model.py
└── identity_onnx/ (onnxruntime, model.onnx ~1KB)

Démarrage rapide :

docker compose up -d
docker compose logs -f
py scripts/client_test.py  # health + infer identity_onnx

---

3. Anatomie de la vulnérabilité

User input (model_name / tar entry) ──► join(parent, child) ──► canonicalize ──► cek "child di dalam parent?" ──► buka file
         │                                    │                     │                         │                     │
         └──► "../tmp/pwn"               /models + "/../tmp/pwn" = /models/../tmp/pwn → /tmp/pwn    rfind vs find + '/' check    FileExists / extract

• Si join sans canonicalize ou avec un contrôle rfind(parent,0)==0 incorrect (correspondance partielle /models vs /models_evil), alors ../ peut s'échapper.
• DoS se produit si le fichier traversé est un FIFO, /dev/zero, /proc/self/mem, ou un tar contenant ../../ qui écrase des fichiers système → blocage / OOM / crash.

Trois questions de recherche (du rapport initial) :

1. Où l'utilisateur contrôle-t-il le chemin ? → model_name dans gRPC RepositoryModelLoad, EXECUTION_ENV_PATH tar entry, override file:, TRITON_BATCH_STRATEGY_PATH.
2. Comment le chemin est-il utilisé ? → posixpath.join(repo, model_name) / temp_dir + "/" + file_name + IsChildPathEscapingParentPath.
3. Quel est l'impact ? → DoS via épuisement des ressources / blocage. Dans ce repo, une écriture de fichier vers /tmp/poc_marker est prouvée.

---

4. Analyse de la cause racine (Diff 26.05 → 26.06)

Repo core (r26.05..r26.06) :

1. src/filesystem/api.cc:407 IsChildPathEscapingParentPath — fix dcb315d + 72f3d9b :

   // VULN (r26.05):
   absolute_child.rfind(absolute_parent,0) != 0
   // → bug de correspondance partielle : le préfixe "/models" de "/models_evil/file" est considéré comme interne
   
   // CORRIGÉ (r26.06):
   canonical_child.find(canonical_parent,0)==0 &&
   ((child.size() > parent.size() && child[parent.size()]=='/') || child.size()==parent.size())
   // → doit avoir '/' après le préfixe, "/models_evil" est maintenant correctement externe
   

   Utilisé dans src/backend_model.cc:196 (TRITON_BATCH_STRATEGY_PATH) et src/model_repository_manager/model_repository_manager.cc:162 (file:).

2. src/model_repository_manager/model_repository_manager.cc:62 ValidateModelName — core#472/#481 (mars 2026, déjà dans 26.05 mais renforcé dans 26.06) :

   if (trimmed==".." || trimmed.find('/')!=npos) return INVALID_ARG "must not contain path traversal"
   

   C'est ce qui fait que gRPC load_model('../tmp/pwn') → 400 INVALID_ARGUMENT dans 26.05 (déjà bloqué). Mais %2f (/ encodé) passe car ce n'est pas un / littéral → 500 poll littéral.

3. python_be.cc:292 EXECUTION_ENV_PATH — e520f8c7 test zipslip_test.py : Le tar est extrait sans contrôle de .. / chemin absolu. L'entrée ../../poc_marker de /models/poc_exploit/malicious_env.tar.gz est extraite vers /tmp/poc_marker (hors du répertoire du modèle). Correctif dans 26.06 : utilisation de ARCHIVE_EXTRACT_SECURE_NODOTDOT|NOABSOLUTEPATHS + contrôle IsChildPathEscapingParentPath.

Repo server (r26.05..r26.06) : uniquement sagemaker_server.cc:1027 (contrôle RE2::FullMatch) + http_server.cc:2440 (atoi→stoi), pas le chemin de ce CVE.

Conclusion : Le chemin model_name via HTTP/gRPC était déjà bloqué dans 26.05 par ValidateModelName, mais le Zip-Slip tar ne l'était pas — c'est ce qui est exploité par le PoC de ce repo.

---

5. Chemins d'exploitation : lesquels sont réellement vulnérables ?

Vecteur	Payload	Résultat 26.05	Vulnérable ?
HTTP brut ../	POST /v2/repository/models/../tmp/pwn/load	404 (normalisation du routage)	❌
HTTP encodé ..%2f	POST /v2/repository/models/..%2ftmp%2fpwn/load	500 littéral, poll /models/..%2ftmp%2fpwn inexistant	❌ (faux 500, pas un traversal)
gRPC brut ../tmp/pwn	load_model('../tmp/pwn')	400 INVALID_ARGUMENT	❌ (déjà bloqué)
gRPC encodé ..%2f	load_model('..%2ftmp%2fpwn')	500 poll littéral	❌
Override file: ../models_evil	file:../models_evil/pwn	400/500 selon la correspondance partielle	⚠️ (dépend du bug IsChildPathEscapingParentPath, mais déjà bloqué par ValidateModelName pour model_name)
Tar EXECUTION_ENV_PATH ../../poc_marker	malicious_env.tar.gz entrée ../../poc_marker	200 + fichier dans /tmp/poc_marker	✅ VULN