CVE-2026-24207 — NVIDIA Triton SageMaker 認証バイパスによる未認証RCE

認証されていない攻撃者は、NVIDIA Triton Inference ServerのSageMakerおよびVertex AI HTTPポート上の モデル管理サーフェスに到達できます — オペレーターの--http-restricted-api設定をバイパスします。 SageMaker MME LOADプリミティブとPythonバックエンドモデルを組み合わせることで、 攻撃者がTritonが読み取り可能なファイルシステムパスにモデルファイルを配置できる場合、 Tritonプロセスユーザーとしての認証前リモートコード実行が可能になります。

• CVE: CVE-2026-24207（SageMaker — PoC + RCEチェーン） · CVE-2026-24206（Vertex AI — 構造的に同一の兄弟バグ、分析のみ）
• CWE-288 · CVSS 9.8 Critical（NVIDIA CNA） — NIST/NVDは未採点
• ベンダー: NVIDIA Corporation · 製品: Triton Inference Server
• 技術解説: offseckit.com/blog/cve-2026-24207

対象範囲. PoCスクリプトは、未認証RCEチェーンを含む CVE-2026-24207（SageMaker）を エンドツーエンドで再現し、公式のNVIDIA NGCコンテナに対して検証済みです。 CVE-2026-24206（Vertex AI）は構造的に同一の兄弟バグであり — PR #8680の ソース/パッチレビュー（docs/root-cause.md、docs/patch-diff.md） によって確認済みですが、ラボでの再現は行っていません。

影響を受けるバージョン

クイックスタート

デバイスがパッチ適用済みか確認する（防御者向け）

python3 detect.py <host:sagemaker_port>

読み取り専用のGETを1回送信します。PATCHED、VULNERABLE、またはUNKNOWNを出力します。 変更は行いません。

バイパスの仕組みを理解する（研究者向け）

python3 bypass_demo.py <host:sagemaker_port>

3つのプローブを送信します — ヘルスチェック（常に成功）、設定済み認証ヘッダー付きの/models（認可済みベースライン）、およびヘッダーなしの/models（バイパス）。レスポンスコードを並べて表示することで、動作の違いを示します。状態の変更はありません。docs/root-cause.md を参照してください。

影響を実証する（許可されたテストのみ）

# Probe the model-management surface (enumerate + LOAD attempt + UNLOAD attempt)
python3 exploit.py <host:sagemaker_port>

# Full RCE chain — point Triton at a path you control on its filesystem
python3 exploit.py <host:sagemaker_port> --mode rce \
        --url /opt/ml/models/<your-attacker-dir> \
        --name chaindemo

--mode rce フローは、ユーザー指定のパスからPythonバックエンドモデルを読み込みます。ディレクトリに有効な config.pbtxt + model.py が含まれている場合（良性のデモについては example/ を参照）、model.py はTritonプロセスユーザーとして — 認証前に — 実行されます。

チェーンの仕組みと前提条件については docs/rce-chain.md を参照してください。

ファイル

要件

Python 3.8+ と requests:

pip install requests

クレジット

4252nez による独立したパッチ適用後の分析とPoC — 技術解説は OffSecKit に掲載。 元の脆弱性は Hyeonjun Ahn（@deayzl）によって報告され、 NVIDIAの2026年5月のセキュリティ速報でクレジットされています。このリポジトリは 当該レポートとは一切関係ありません。

ライセンス

MIT — LICENSE を参照してください。