CVE-2026-24207 — NVIDIA Triton SageMaker प्रमाणीकरण बाईपास से अनप्रमाणित RCE

अनप्रमाणित हमलावर SageMaker और Vertex AI HTTP पोर्टों पर NVIDIA Triton Inference Server के model-management सतह तक पहुँच सकते हैं — ऑपरेटर के --http-restricted-api कॉन्फ़िगरेशन को बायपास करते हुए। SageMaker MME LOAD प्रिमिटिव और Python-बैकएंड मॉडल के साथ, यह प्री-प्रमाणीकरण रिमोट कोड निष्पादन (RCE) को सक्षम करता है, जो Triton प्रक्रिया उपयोगकर्ता के रूप में तब होता है जब हमलावर मॉडल फ़ाइलों को Triton-पठनीय फ़ाइलसिस्टम पथ पर रख सकता है।

• CVE: CVE-2026-24207 (SageMaker — PoC + RCE श्रृंखला) · CVE-2026-24206 (Vertex AI — संरचनात्मक रूप से समान सहोदर, केवल विश्लेषण)
• CWE-288 · CVSS 9.8 क्रिटिकल (NVIDIA CNA) — NIST/NVD अभी तक स्कोर नहीं किया गया
• विक्रेता: NVIDIA Corporation · उत्पाद: Triton Inference Server
• रिपोर्ट: offseckit.com/blog/cve-2026-24207

दायरा. PoC स्क्रिप्ट CVE-2026-24207 (SageMaker) को शुरू से अंत तक दोहराती हैं, जिसमें अनप्रमाणित-RCE श्रृंखला शामिल है, आधिकारिक NVIDIA NGC कंटेनरों के विरुद्ध सत्यापित। CVE-2026-24206 (Vertex AI) संरचनात्मक रूप से समान सहोदर बग है — PR #8680 के स्रोत/पैच समीक्षा द्वारा पुष्टि की गई (docs/root-cause.md, docs/patch-diff.md), प्रयोगशाला में पुनरुत्पादित नहीं।

प्रभावित संस्करण

त्वरित आरंभ

जाँचें कि कोई उपकरण पैच किया गया है या नहीं (रक्षक)

python3 detect.py <host:sagemaker_port>

एक केवल-पढ़ने वाला GET अनुरोध भेजता है। PATCHED, VULNERABLE, या UNKNOWN प्रिंट करता है। कोई बदलाव नहीं करता।

बाईपास को समझें (शोधकर्ता)

python3 bypass_demo.py <host:sagemaker_port>

तीन प्रोब भेजता है — स्वास्थ्य (हमेशा सफल), /models को कॉन्फ़िगर किए गए प्रमाणीकरण हेडर के साथ (अधिकृत आधार रेखा), और /models बिना हेडर के (बाईपास)। साथ-साथ प्रतिक्रिया कोड व्यवहार अंतर दिखाते हैं। कोई स्थिति परिवर्तन नहीं। देखें docs/root-cause.md।

प्रभाव प्रदर्शित करें (केवल अधिकृत परीक्षण)

# model-management सतह की जाँच करें (गणना + LOAD प्रयास + UNLOAD प्रयास)
python3 exploit.py <host:sagemaker_port>

# पूर्ण RCE श्रृंखला — Triton को उसके फ़ाइलसिस्टम पर आपके नियंत्रण वाले पथ पर इंगित करें
python3 exploit.py <host:sagemaker_port> --mode rce \
        --url /opt/ml/models/<your-attacker-dir> \
        --name chaindemo

--mode rce प्रवाह उपयोगकर्ता-प्रदत्त पथ से Python-बैकएंड मॉडल लोड करता है। यदि निर्देशिका में एक वैध config.pbtxt + model.py है (देखें example/ एक हानिरहित डेमो के लिए), तो model.py Triton प्रक्रिया उपयोगकर्ता के रूप में निष्पादित होता है — प्री-प्रमाणीकरण।

श्रृंखला यांत्रिकी और आवश्यकताओं के लिए देखें docs/rce-chain.md।

फ़ाइलें

आवश्यकताएँ

Python 3.8+ और requests:

pip install requests

श्रेय

स्वतंत्र पोस्ट-पैच विश्लेषण और PoC 4252nez द्वारा — OffSecKit पर रिपोर्ट। मूल भेद्यताएँ Hyeonjun Ahn (@deayzl) द्वारा रिपोर्ट की गईं और NVIDIA के मई 2026 सुरक्षा बुलेटिन में श्रेय दिया गया; इस भंडार का उस रिपोर्ट से कोई संबंध नहीं है।

लाइसेंस

MIT — देखें LICENSE।