CVE-2026-5817

요약

# Docker Model Runner의 vllm-metal 추론 백엔드 원격 코드 실행 취약점 macOS의 Docker Model Runner에 포함된 vllm-metal 추론 백엔드는 모델 토크나이저를 로드할 때 `trust_remote_code=True`를 무조건 설정하며, 샌드박스 없이 실행됩니다. 이로 인해 `transformers.AutoTokenizer.from_pretrained()`가 OCI 레지스트리에서 가져온 모든 모델에 포함된 임의의 Python 파일을 가져와 실행하게 되며, 추론이 트리거될 때 Docker 호스트에서 Docker Desktop 사용자 권한으로 임의 코드가 실행될 수 있습니다. Docker 네트워크의 모든 컨테이너는 model-runner.docker.internal API를 호출하여 악성 모델을 가져오고 추론을 요청함으로써 이를 트리거할 수 있습니다.

• CVE-2026-5817-PoCPoC

  Docker Model Runner container-to-host RCE / Escape: Docker Model Runner의 MLX / SGLANG / VLLM 추론 백엔드에서 컨테이너-호스트 코드 실행을 허용하는 치명적인 취약점입니다.

• CVE-2026-5817PoC

  vllm-metal trust_remote_code=True를 통한 Docker 컨테이너-호스트 원격 코드 실행 PoC