CVE-2026-23001 – Hugging Face Transformers 모델 역직렬화 RCE

개요

torch.save()로 저장된 Hugging Face 모델은 본질적으로 안전하지 않은 Python의 pickle 직렬화를 사용합니다. 사용자가 저장소에서 겉보기에는 합법적인 모델을 다운로드하면, 이를 로드할 때 임의 코드 실행이 트리거되어 전체 환경이 손상될 수 있습니다.

취약점 세부 정보

• 유형: 안전하지 않은 역직렬화
• 영향: 원격 코드 실행
• 근본 원인: torch.load()는 pickle 역직렬화를 샌드박스 처리하지 않습니다. 공격자는 셸 명령을 실행하는 __reduce__ 메서드를 주입할 수 있습니다.

익스플로잇 데모

1. 악성 모델을 생성합니다:
   root@kitploit:~

   pip install torch
   python malicious_model_card.py
   

2. 피해자가 모델을 로드하는 상황을 시뮬레이션합니다:
   root@kitploit:~

   python exploit_hf_pickle.py
   

/tmp/hf_pwned 파일이 나타나며, 코드 실행이 입증됩니다.