1. CVE सारांश

ईमानदार टिप्पणी: CNA विवरण केवल path traversal → DoS है, बिना विवरण के। यह राइटअप r26.05..r26.06 के diff और कंटेनर 26.05-py3 में प्रत्यक्ष परीक्षण के माध्यम से बग की स्थिति का पुनर्निर्माण करता है।

2. लैब वातावरण

इमेज: nvcr.io/nvidia/tritonserver:26.05-py3 (TRITON_VERSION 2.69.0)

Compose हमेशा explicit (इस रिपॉजिटरी में पहले से पैच किया गया):

run_triton.bat:10, run_triton.ps1:11, run_triton.sh:12 भी पहले से explicit हैं।

Triton मोड:

• NONE (डिफ़ॉल्ट upstream) → स्टार्ट पर एक बार लोड, POST /v2/repository/models/.../load → 503, नया मॉडल लोड करने के लिए restart आवश्यक।
• POLL → हर सेकंड रिपॉजिटरी स्कैन, ऑटो-लोड, explicit लोड को ब्लॉक करता है।
• EXPLICIT (यह रिपॉजिटरी) → स्कैन नहीं करता, लेकिन gRPC load_model / POST /load खोलता है → gRPC के माध्यम से बिना restart PoC।

पोर्ट: | 8000 | HTTP REST | v2/health, v2/models, v2/repository | | 8001 | gRPC | RepositoryModelLoad, ModelInfer | | 8002 | मेट्रिक्स | Prometheus |

प्रारंभिक मॉडल:

Quickstart:

3. कमजोरी की संरचना

• यदि join बिना canonicalize या गलत rfind(parent,0)==0 जाँच (partial-match /models बनाम /models_evil) के हो, तो ../ escape हो सकता है।
• DoS तब होता है जब traverse की गई फ़ाइल FIFO, /dev/zero, /proc/self/mem हो, या tar में ../../ हो जो सिस्टम फ़ाइलों को overwrite करे → hang / OOM / crash।

तीन शोध प्रश्न (प्रारंभिक रिपोर्ट से):

1. उपयोगकर्ता पथ को कहाँ नियंत्रित करता है? → gRPC RepositoryModelLoad में model_name, EXECUTION_ENV_PATH tar entry, file: override, TRITON_BATCH_STRATEGY_PATH।
2. पथ का उपयोग कैसे किया जाता है? → posixpath.join(repo, model_name) / temp_dir + "/" + file_name + IsChildPathEscapingParentPath।
3. प्रभाव क्या है? → resource exhaustion / hang के माध्यम से DoS। इस रिपॉजिटरी में /tmp/poc_marker पर फ़ाइल लेखन सिद्ध किया गया है।

4. रूट कॉज़ विश्लेषण (Diff 26.05 → 26.06)

रिपॉजिटरी core (r26.05..r26.06):

1. src/filesystem/api.cc:407 IsChildPathEscapingParentPath — fix dcb315d + 72f3d9b:

   root@kitploit:~

   // VULN (r26.05):
   absolute_child.rfind(absolute_parent,0) != 0
   // → bug partial-match: "/models" prefix dari "/models_evil/file" dianggap inside
   
   // FIXED (r26.06):
   canonical_child.find(canonical_parent,0)==0 &&
   ((child.size() > parent.size() && child[parent.size()]=='/') || child.size()==parent.size())
   // → harus '/' setelah prefix, "/models_evil" sekarang correctly outside
   

   src/backend_model.cc:196 (TRITON_BATCH_STRATEGY_PATH) और src/model_repository_manager/model_repository_manager.cc:162 (file:) में उपयोग किया गया।

2. src/model_repository_manager/model_repository_manager.cc:62 ValidateModelName — core#472/#481 (मार्च 2026, 26.05 में पहले से मौजूद लेकिन 26.06 में कड़ा किया गया):

   root@kitploit:~

   if (trimmed==".." || trimmed.find('/')!=npos) return INVALID_ARG "must not contain path traversal"
   

   यही कारण है कि 26.05 में gRPC load_model('../tmp/pwn') → 400 INVALID_ARGUMENT (पहले से ब्लॉक)। लेकिन %2f (encoded /) लिटरल / न होने के कारण पास हो जाता है → 500 poll literal।

3. python_be.cc:292 EXECUTION_ENV_PATH — e520f8c7 test zipslip_test.py: Tar बिना .. / absolute जाँच के extract किया जाता है। /models/poc_exploit/malicious_env.tar.gz से entry ../../poc_marker को /tmp/poc_marker (मॉडल डायरेक्टरी के बाहर) में extract किया जाता है। 26.06 में fix: ARCHIVE_EXTRACT_SECURE_NODOTDOT|NOABSOLUTEPATHS + IsChildPathEscapingParentPath जाँच।

रिपॉजिटरी server (r26.05..r26.06): केवल sagemaker_server.cc:1027 (RE2::FullMatch check) + http_server.cc:2440 (atoi→stoi), इस CVE के पथ से संबंधित नहीं।

निष्कर्ष: HTTP/gRPC के माध्यम से model_name पथ 26.05 में ValidateModelName द्वारा पहले से ब्लॉक है, लेकिन Zip-Slip tar अभी भी ब्लॉक नहीं है — यही इस रिपॉजिटरी के PoC द्वारा एक्सप्लॉइट किया गया है।

5. एक्सप्लॉइटेशन पथ: कौन सा वास्तव में प्रभावित है?

पुराने राइटअप में 500 vs 400 की उपमा गलत थी: 500 = फ़ाइल मौजूद नहीं (दरवाज़ा नहीं है), 400 = वैलिडेशन द्वारा अस्वीकृत (दरवाज़ा बंद है)। दोनों में प्रवेश नहीं होता। केवल 200 + /tmp में फ़ाइल ही प्रमाण है।

6. मुख्य PoC: EXECUTION_ENV_PATH के माध्यम से Zip-Slip

विचार: Python backend पैरामीटर EXECUTION_ENV_PATH $$TRITON_MODEL_DIRECTORY/malicious_env.tar.gz की ओर इशारा करता है। जब load_model('poc_exploit') होता है, backend pb_env.cc:292 बिना sanitization के tar extract करता है। Entry ../../poc_marker .../poc_exploit/ से /tmp/poc_marker तक escape हो जाती है।

PoC चरण (scripts/exploit.py:28 और exploit.ps1:20 में स्वचालित):

1. echo_python → poc_exploit कॉपी करें (scripts/exploit.py:35)
2. config.pbtxt जोड़ें (scripts/exploit.py:40):
   root@kitploit:~

   parameters: {key: "EXECUTION_ENV_PATH", value: {string_value: "$$TRITON_MODEL_DIRECTORY/malicious_env.tar.gz"}}
   

3. Tar बनाएं (scripts/exploit.py:44):
   root@kitploit:~

   TarInfo(name='../../poc_marker', size=6, mode=0o644)  # → /tmp/poc_marker
   TarInfo(name='bin/activate', mode=0o755)
   

4. gRPC load_model('poc_exploit') ट्रिगर करें (scripts/exploit.py:60) — explicit होने के कारण बिना restart।
5. सत्यापित करें docker exec tritonserver-test cat /tmp/poc_marker → pwned (scripts/exploit.py:81)

7. PoC चलाने का तरीका (One-Click)

पूर्वापेक्षाएँ: Docker, image 26.05-py3 पहले से docker compose up -d (रिपॉजिटरी पहले से explicit)।

Python (बिना restart, gRPC के माध्यम से):

PowerShell:

MODE_NONE पर वापस लौटें (यदि डिफ़ॉल्ट upstream चाहिए):

ब्लॉक परीक्षण (200 नहीं, 400/404/500 होना चाहिए):

8. ट्रैवर्सल का प्रमाण (500 Fake नहीं)

कमजोर (26.05) — exploit.py आउटपुट:

सत्यापन:

पैच किया गया (26.06) — अपेक्षित:

HTTP/gRPC .. 500 नहीं, 400 होना चाहिए:

9. DoS प्रभाव

CNA DoS लिखता है, लेकिन यह Zip-Slip फ़ाइल overwrite कर सकता है → DoS:

• अन्य मॉडल के model.py / config.pbtxt को overwrite करें → मॉडल लोड विफल → 503
• बड़े bin/activate / FIFO /tmp/fifo वाला tar → pb_env.cc थ्रेड hang → UNAVAILABLE
• ../../dev/zero (अनंत) वाले tar के साथ load_model फ्लड → OOM

यह रिपॉजिटरी ट्रैवर्सल के प्रमाण के रूप में फ़ाइल लेखन पर केंद्रित है; DoS को अनंत लूप वाले 1/model.py वाले tar के साथ बढ़ाया जा सकता है।

10. शमन (Mitigation)

1. पैच: 26.06 (server v2.70.0, core r26.06) — IsChildPathEscapingParentPath + ARCHIVE_EXTRACT_SECURE_NODOTDOT।
2. 26.05 के लिए वर्कअराउंड:
   • 8000/8001 को इंटरनेट पर expose न करें (reverse proxy + auth)
   • WAF URL और EXECUTION_ENV_PATH में .. और %2f ब्लॉक करें
   • यदि आवश्यक न हो तो Python backend EXECUTION_ENV_PATH अक्षम करें
3. पहचान: docker logs tritonserver-test | grep "Path contains\|failed to poll.*%2f"

11. रिपॉजिटरी संरचना (सफाई के बाद)

हटाए गए: exploit_cve_*.py, poc_zipslip_simple.py, check_mode.py, test_http_grpc_blocked.py, cleanup_poc.py, test_poc.ps1, null, model_repository/zipslip_*, /tmp/poc_marker।

12. संदर्भ एवं समयरेखा

• बुलेटिन NV 5865: https://github.com/NVIDIA/product-security/tree/main/2026/5865 (5865.md, CVE-2026-47627.json)
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-47627 (Awaiting Analysis)
• Fix commits core r26.06: dcb315d (Modernize Child Path), 72f3d9b (child path test), e520f8c7 (zipslip test), 50830ba/66f09f8 (ValidateModelName)
• Fix server r26.06: v2.70.0 (690f9dd)
• क्रेडिट: Martin Brodeur

टिप्पणी

यह PoC शिक्षा और बंद लैब के लिए है। बिना auth के 8000/8001 expose न करें। डेमो के बाद हमेशा exploit.py --keep चलाएं, फिर docker exec tritonserver-test rm -f /tmp/poc_marker और Remove-Item -Recurse model_repository/poc_exploit करें।