🛡️ CVE-2026-22807 シミュレーション: AI サプライチェーン RCE ターゲットレンジ

⚠️ 免責事項 / Disclaimer

本プロジェクトはセキュリティ研究および教育目的のみに使用され、AI モデル読み込みプロセスにおけるサプライチェーン攻撃の原理（Remote Code Execution）をデモンストレーションすることを目的としています。 本番環境で生成された悪意のあるモデルを使用しないでください。また、本プロジェクトを違法な攻撃行為に使用することは固く禁じられています。開発者は、不適切な使用によって生じたいかなる法的責任も負いません。

📖 プロジェクト概要 (Introduction)

これは、CVE-2026-22807（典型的な AI サプライチェーン脆弱性ロジック）をシミュレートおよび再現するための軽量な Python ターゲットレンジです。

このターゲットレンジは、AI 推論フレームワーク（vLLM、Transformers など）がモデルを読み込む際の**時系列競合（TOCTOU）問題をデモンストレーションします： ローダーが trust_remote_code=False をチェックする前に、モデルアーキテクチャ（AutoConfig/AutoModel）を解析するためにユーザー提供の Python コードを早期にインポートした場合、攻撃者はセキュリティチェックをバイパスしてリモートコード実行（RCE）**を実現できます。

コア機能

• ❌ 脆弱なロジックのシミュレーション：「コードを先に解析し、権限を後でチェックする」という誤った設計を再現します。
• 💣 動的 Payload 生成：コマンドライン引数によるカスタムシステムコマンドの注入をサポートします。
• 🚀 ゼロ依存：PyTorch や vLLM のインストールは不要で、Python 標準ライブラリのみで検証を実行できます。

📂 ファイル構成 (Files)

🛠️ クイックスタート (Quick Start)

1. 環境準備

Python 3.x がインストールされていることを確認してください。このターゲットレンジにはサードパーティライブラリの依存関係はありません。

2. 基本検証

攻撃スクリプトを直接実行すると、デフォルトで whoami コマンドが実行されます。

python poc_dynamic.py

期待される出力： コンソールに PWNED という文字と現在のシステムユーザー名が表示され、その後プログラムが "Remote code not allowed" の例外をスローします。これは防御がバイパスされたことを証明します。

3. 高度な利用 (カスタムコマンド)

任意のシステムコマンドを引数としてスクリプトに渡し、特定の「爆弾」を生成できます。

Windows の例 (電卓を起動):

python poc_dynamic.py calc

Linux/Mac の例 (ファイルを表示):

python poc_dynamic.py cat /etc/passwd

🔍 脆弱性の原理分析 (Technical Analysis)

脆弱性のロジックフロー

このターゲットレンジは、以下の危険なプロセスを再現します：

1. 設定の読み込み：ローダーが config.json を読み取ります。
2. アーキテクチャの解析 (脆弱性)：ローダーが auto_map フィールドを検出し、モデルクラスを確認するために、importlib を使用してターゲットの Python ファイルを直接インポートします。
3. コード実行 (Exploit)：Python の import メカニズムにより、悪意のあるファイルのトップレベルの os.system() が即座に実行されます。
4. セキュリティチェック (Bypass)：コードの実行後、ローダーは初めて trust_remote_code をチェックします。この時点でブロックしてエラーをスローしますが、攻撃はすでに完了しています。

コアコードの比較

❌ 脆弱なコード (vulnerable_lib.py):

# 1. 先にコードの読み込みをトリガー (RCE はここで発生)
self._resolve_model_class() 

# 2. 後にセキュリティチェックを実行 (後の祭り)
if not self.trust_remote_code:
    raise RuntimeError("Aborted!")

✅ 修正案:

# 1. 先にセキュリティチェックを実行
if not self.trust_remote_code and self._needs_remote_code():
    raise RuntimeError("Aborted!")

# 2. チェック通過後にのみコードを読み込み
self._resolve_model_class()