CVE-2026-24207 — Bypass de autenticação NVIDIA Triton SageMaker para RCE não autenticado

Atacantes não autenticados podem alcançar a superfície de gerenciamento de modelos do NVIDIA Triton Inference Server nas portas HTTP SageMaker e Vertex AI — contornando a configuração --http-restricted-api do operador. Combinado com a primitiva LOAD do SageMaker MME e um modelo com backend Python, isso permite execução remota de código sem autenticação como o usuário do processo Triton quando o atacante pode colocar arquivos de modelo em um caminho do sistema de arquivos legível pelo Triton.

• CVE: CVE-2026-24207 (SageMaker — PoC + cadeia RCE) · CVE-2026-24206 (Vertex AI — irmão estruturalmente idêntico, apenas análise)
• CWE-288 · CVSS 9.8 Crítico (CNA da NVIDIA) — NIST/NVD ainda não atribuiu pontuação
• Fornecedor: NVIDIA Corporation · Produto: Triton Inference Server
• Artigo: offseckit.com/blog/cve-2026-24207

Escopo. Os scripts PoC reproduzem CVE-2026-24207 (SageMaker) de ponta a ponta, incluindo a cadeia de RCE não autenticado, verificados nos contêineres NVIDIA NGC oficiais. CVE-2026-24206 (Vertex AI) é o bug irmão estruturalmente idêntico — confirmado por revisão de código/patch do PR #8680 (docs/root-cause.md, docs/patch-diff.md), não reproduzido em laboratório.

Versões afetadas

Início rápido

Verifique se um dispositivo está corrigido (defensores)

python3 detect.py <host:sagemaker_port>

Envia um GET somente leitura. Exibe PATCHED, VULNERABLE ou UNKNOWN. Não faz alterações.

Entenda o bypass (pesquisadores)

python3 bypass_demo.py <host:sagemaker_port>

Envia três sondas — health (sempre bem-sucedido), /models COM o cabeçalho de autenticação configurado (linha de base autorizada) e /models SEM o cabeçalho (o bypass). Códigos de resposta lado a lado mostram a diferença de comportamento. Nenhuma mudança de estado. Veja docs/root-cause.md.

Demonstre o impacto (somente para testes autorizados)

# Probe the model-management surface (enumerate + LOAD attempt + UNLOAD attempt)
python3 exploit.py <host:sagemaker_port>

# Full RCE chain — point Triton at a path you control on its filesystem
python3 exploit.py <host:sagemaker_port> --mode rce \
        --url /opt/ml/models/<your-attacker-dir> \
        --name chaindemo

O fluxo --mode rce carrega um modelo com backend Python de um caminho fornecido pelo usuário. Se o diretório contém um config.pbtxt

• model.py válidos (veja example/ para uma demonstração benigna), o model.py executa como o usuário do processo Triton — sem autenticação.

Veja docs/rce-chain.md para a mecânica da cadeia e pré-requisitos.

Arquivos

Requisitos

Python 3.8+ e requests:

pip install requests

Créditos

Análise pós-correção independente e PoC por 4252nez — artigo no OffSecKit. Vulnerabilidades originais relatadas por Hyeonjun Ahn (@deayzl) e creditadas no boletim de segurança de maio de 2026 da NVIDIA; este repositório não tem afiliação com esse relatório.

Licença

MIT — veja LICENSE.