CVE-2026-7669

概要

sgl-project SGLang 0.5.9 以前のバージョンで脆弱性が検出されました。影響を受けるのは、HuggingFace Transformer Handler コンポーネントのファイル `python/sglang/srt/utils/hf_transformers_utils.py` 内の関数 `get_tokenizer` です。引数 `trust_remote_code` をブール値の一部として `False` という入力で操作すると、コードインジェクションが発生します。この攻撃はリモートから実行可能です。この攻撃には高い複雑性が関連付けられており、悪用可能性は困難と見なされています。`get_tokenizer()` 内で、呼び出し元が `trust_remote_code=False` を渡し、HuggingFace transformers v5 が `TokenizersBackend` インスタンス（レジストリにないトークナイザークラス用の汎用フォールバック）を返す場合、SGLang は `trust_remote_code=True` を指定して `AutoTokenizer.from_pretrained` を静かに再呼び出しし、呼び出し元の明示的なセキュリティ設定を上書きします。`tokenizer_config.json` の `auto_map` を介して参照される悪意のある `tokenizer.py` を含むモデルリポジトリは、この2回目の呼び出し中に SGLang プロセス内で任意の Python コードを実行します。ログ行や警告は出力されません。この上書きは、`pyproject.toml` で `transformers==5.3.0` が固定されているため、現在のすべての SGLang バージョンに影響します。`tokenizer_mode="auto"` と `tokenizer_mode="slow"` の両方が影響を受けます。このエクスプロイトは現在公開されており、使用される可能性があります。この開示についてベンダーには早期に連絡が行われましたが、いかなる応答もありませんでした。

• CVE-2026-7669-PoCPoC

  PoC for CVE-2026-7669: SGLangのサイレントなtrust_remote_codeオーバーライド -> RCE