CVE-2026-7669

요약

sgl-project SGLang 0.5.9까지의 버전에서 취약점이 발견되었습니다. HuggingFace Transformer Handler 구성 요소의 python/sglang/srt/utils/hf_transformers_utils.py 파일에 있는 get_tokenizer 함수가 영향을 받습니다. 부울 결과의 일부로 trust_remote_code 인수를 False 입력으로 조작하면 코드 주입이 발생합니다. 이 공격은 원격으로 실행될 수 있습니다. 이 공격에는 높은 복잡성 수준이 연관되어 있습니다. 악용 가능성은 어려운 것으로 간주됩니다. get_tokenizer()에서 호출자가 trust_remote_code=False를 전달하고 HuggingFace transformers v5가 TokenizersBackend 인스턴스(레지스트리에 없는 토크나이저 클래스에 대한 일반 대체 수단)를 반환하면, SGLang은 trust_remote_code=True로 AutoTokenizer.from_pretrained를 자동으로 다시 호출하여 호출자의 명시적 보안 설정을 무시합니다. tokenizer_config.json의 auto_map을 통해 참조되는 악성 tokenizer.py가 포함된 모델 저장소는 이 두 번째 호출 중에 SGLang 프로세스에서 임의의 Python을 실행하게 됩니다. 로그 줄이나 경고는 출력되지 않습니다. 이 재정의는 pyproject.toml에 transformers==5.3.0이 고정되어 있기 때문에 현재 모든 SGLang 버전에 영향을 미칩니다. tokenizer_mode="auto"와 tokenizer_mode="slow" 모두 영향을 받습니다. 이 익스플로잇은 현재 공개되었으며 사용될 수 있습니다. 이 공개에 대해 공급업체에 조기에 연락했지만 어떤 응답도 받지 못했습니다.

• CVE-2026-7669-PoCPoC

  PoC for CVE-2026-7669: SGLang의 자동 trust_remote_code 무시로 인한 RCE