CVE-2026-24207 — NVIDIA Triton SageMaker 인증 우회로 인한 무인증 RCE

인증되지 않은 공격자는 SageMaker 및 Vertex AI HTTP 포트에서 NVIDIA Triton Inference Server의 모델 관리 표면에 도달할 수 있습니다 — 운영자의 --http-restricted-api 구성을 우회합니다. SageMaker MME LOAD 프리미티브와 Python 백엔드 모델을 결합하면, 공격자가 Triton이 읽을 수 있는 파일 시스템 경로에 모델 파일을 배치할 수 있을 때 Triton 프로세스 사용자 권한으로 사전 인증 원격 코드 실행이 가능합니다.

• CVE: CVE-2026-24207 (SageMaker — PoC + RCE 체인) · CVE-2026-24206 (Vertex AI — 구조적으로 동일한 자매 버그, 분석만)
• CWE-288 · CVSS 9.8 Critical (NVIDIA CNA) — NIST/NVD 미점수
• 공급업체: NVIDIA Corporation · 제품: Triton Inference Server
• 기술 문서: offseckit.com/blog/cve-2026-24207

범위. PoC 스크립트는 CVE-2026-24207 (SageMaker)을 공식 NVIDIA NGC 컨테이너에서 검증된 무인증 RCE 체인을 포함하여 엔드투엔드로 재현합니다. CVE-2026-24206 (Vertex AI)은 구조적으로 동일한 자매 버그입니다 — PR #8680의 소스/패치 검토로 확인되었으며 (docs/root-cause.md, docs/patch-diff.md), 실험실 재현은 이루어지지 않았습니다.

영향을 받는 버전

빠른 시작

패치 여부 확인 (방어자용)

python3 detect.py <host:sagemaker_port>

읽기 전용 GET 요청 하나를 보냅니다. PATCHED, VULNERABLE 또는 UNKNOWN을 출력합니다. 변경 사항은 없습니다.

우회 메커니즘 이해 (연구자용)

python3 bypass_demo.py <host:sagemaker_port>

세 가지 프로브를 보냅니다 — health(항상 성공), 구성된 인증 헤더가 포함된 /models(인증된 기준선), 그리고 헤더가 없는 /models(우회). 나란히 표시된 응답 코드가 동작 차이를 보여줍니다. 상태 변경은 없습니다. docs/root-cause.md를 참조하세요.

영향 입증 (승인된 테스트 전용)

# Probe the model-management surface (enumerate + LOAD attempt + UNLOAD attempt)
python3 exploit.py <host:sagemaker_port>

# Full RCE chain — point Triton at a path you control on its filesystem
python3 exploit.py <host:sagemaker_port> --mode rce \
        --url /opt/ml/models/<your-attacker-dir> \
        --name chaindemo

--mode rce 흐름은 사용자가 제공한 경로에서 Python 백엔드 모델을 로드합니다. 디렉터리에 유효한 config.pbtxt + model.py가 포함되어 있으면(무해한 데모는 example/ 참조), model.py가 인증 전에 Triton 프로세스 사용자 권한으로 실행됩니다.

체인 메커니즘과 전제 조건은 docs/rce-chain.md를 참조하세요.

파일

요구 사항

Python 3.8+ 및 requests:

pip install requests

크레딧

패치 이후 독립 분석 및 PoC: 4252nez — OffSecKit의 기술 문서. 원본 취약점은 Hyeonjun Ahn(@deayzl)이 보고했으며 NVIDIA의 2026년 5월 보안 게시판에서 공로를 인정받았습니다. 이 저장소는 해당 보고와 관련이 없습니다.

라이선스

MIT — LICENSE 참조.