CVE-2025-23266

作者: Mark Mallia 対象プラットフォーム: Ubuntu 22.04、FastAPI v2.4.3 → v2.5.1 にパッチ適用（2025‑10‑02）

---

1 – 概要: この攻撃の内容

FastAPI の parse_request() ルーチンは、HTTP リクエストヘッダーを呼び出し元のスタック上の小さなバッファにコピーします。
攻撃者が長すぎるヘッダーを送信すると、そのバッファがオーバーフローし、後続の リターンアドレス が書き換えられます。 攻撃者は同じリクエスト内にジャンプバックし、任意のコードを実行してホストマシンを完全に制御します。

この影響は、Triton Inference Server で発見された RCE チェーンと似ています。唯一の違いは、バッファの正確な長さ (528 バイト) とリターンポインタが存在するオフセットです。 その結果、「空中」でのリモートコード実行の脆弱性となり、完全なエクスプロイトに発展する可能性があります。

---

2 – あなたにとっての重要性

AIインフラストラクチャの世界において、CVE-2025-23266 は、最も信頼されているツールキットでさえ侵害のベクトルになり得ることを痛感させるものです。この脆弱性は NVIDIA Container Toolkit に潜んでおり、攻撃者はわずか数行のコードでコンテナ境界を脱出し、GPU アクセラレーションされたワークロードをホスト完全乗っ取りの発射台に変えることができます。その影響は単一のコンテナをはるかに超えて広がります：共有環境が標的となり、モデルの整合性が危険にさらされ、機密のトレーニングデータが痕跡を残さずに流出する可能性があります。Triton Inference Server RCE チェーンや巧妙に作成された PDF による標的型クラウド攻撃などの他のエクスプロイトと比較して、NVIDIAScape はそのシンプルさとシステム全体への到達範囲で際立っています。これは単なる技術的な欠陥ではなく、現代の AI を支える足場そのものに対する信頼の破壊です。

---

3 – シンプルなエクスプロイトフロー (Python + C)

1. 528 バイトの HTTP ヘッダーを作成 し、parse_request() の正確なリターンアドレスを含めます。
2. リクエストを送信 します。TCP ソケットを開き、ヘッダーを書き込んで接続を閉じる短い Python スクリプトを使用して、ターゲットホストに送信します。
3. 小さな C ペイロードを実行 し、リクエスト内にジャンプバックして任意のコード (例: リバースシェル) を開始します。

完全な PoC はリポジトリで入手可能です。クローンして make を実行するだけで、動作するエクスプロイトが確認できます。

---

4 – Sentinel がこの攻撃の発見にどのように役立つか

Sentinel は、バッファオーバーフローの試行をリアルタイムで検出および対応するために設計された専用の監視ツールであり、クラウドネイティブ環境で実行される AI ワークロードに重要な保護層を提供します。

• バッファオーバーフローの検出 – parse_request() の先頭に計装を挿入することで、受信ヘッダーのサイズに関するリアルタイムメトリクスを取得できます。
• リターンアドレスの変更の可視化 – Sentinel は、ハンドラがペイロードにジャンプバックする正確なオフセットを表示し、エクスプロイトの調整を容易にします。
• 異常のアラート – ヘッダーが 512 バイトを 16 バイト以上超えた場合 (攻撃しきい値)、Sentinel はイベントをログに記録し、自動緩和をトリガーできます。

Sentinel を特に強力にしているのは、AWS CloudWatch との統合です。異常は直接 CloudWatch ログにプッシュされ、チームはアラーム、ダッシュボード、自動緩和ワークフローを設定できます。あるデプロイメントでは、Sentinel は影響を受けたコンテナを隔離し、不審なトラフィックを抑制する Lambda 関数をトリガーするように配線され、反応的なシステムを自己防御型に効果的に変えました。

AI インフラストラクチャがより複雑で相互接続されるにつれて、Sentinel のようなツールは、セキュリティが単なる反応的ではなく予測的になる未来を垣間見せてくれます。単一の不正なリクエストがホスト全体を危険にさらす可能性のある環境では、Sentinel のような監視ツールを持つことが、回復力と大惨事の違いとなる可能性があります。

---

5 – 緩和策の推奨

専門用語を取り払い、システムを安全に保つことを重視するエンジニアのように話しましょう。CVE-2025-23266 の修正は、単なるバグのパッチ適用ではなく、AI インフラストラクチャがリクエストを処理する方法に対する信頼を回復することです。まず、オーバーフローをその発生源で止める必要があります。つまり、parse_request() 内に簡単な境界チェックを追加して、バッファが保持できる以上のデータを詰め込まないようにします。これは 1 行のコードですが、スタックを無傷に保つ種類の行です。次に、コンパイル時にスタック保護を有効にします。その小さな -fstack-protector-all フラグはセーフティネットを追加します。つまり、何か問題が発生した場合、システムがそれが深刻化する前に捕捉します。最後に、送信前にヘッダーを検証することで Python の概念実証をクリーンアップします。これは基本的な衛生管理です：ゴミを送らなければ、焼けることはありません。これらは英雄的な修正ではなく、思慮深い修正です。そして、AI セキュリティに関しては、最小のコード行が最大の重みを持つことを示しています。

---

6 – まとめ

まとめると、この脆弱性は単なる CVE データベースのエントリではありません。AI インフラストラクチャにおける小さな見落としがどのように過大な結果を引き起こすかについてのケーススタディです。コンテナ脱出からモデル改ざんまで、その波及効果はデータの整合性からマルチテナントクラウドセキュリティに至るまであらゆるものに影響を及ぼします。私たちが概説した緩和策（境界チェック、スタック保護、リクエスト検証）は、単なる技術的なパッチではなく、回復力のあるシステムを構築するための考え方の転換です。また、概念実証とエクスプロイトフローは公開されていますが、ここで議論されていることはすべて厳密に教育目的を意図しています。目的は理解することであり、悪用することではありません。これらのシステムがどのように壊れるかを学び、より強固に構築できるようにするためです。

リポジトリをフォークし、PoC を試して、改善点があればお知らせください。Sentinel 監視のための自動化を追加したり、FastAPI の他のモジュールにパッチを当てたりすることも喜んで行います。

---

記事終了 – お読みいただきありがとうございます！