CVE-2026-47630 — NVIDIA Triton Inference Server: произвольный dlopen через TRITON_BATCH_STRATEGY_PATH

Обход каталога с использованием абсолютного пути (absolute path traversal) в загрузчике пользовательских стратегий батчинга из triton-inference-server/core. Параметр конфигурации модели передаётся без проверки в dlopen(RTLD_NOW | RTLD_LOCAL), поэтому любой, кто может влиять на config.pbtxt модели, получает возможность выполнять нативный код внутри процесса сервера Triton в момент загрузки модели.

Подтверждение NVIDIA в бюллетене 5865 дословно гласит: CVE-2026-47630: s1ko.

Краткое описание

Triton принимает параметр TRITON_BATCH_STRATEGY_PATH из config.pbtxt модели. Вплоть до версии 26.05 значение обрабатывалось как произвольный путь файловой системы и передавалось в dlopen без изменений. Не было ни проверки на выход за пределы каталога, ни списка разрешённых путей, ни проверки подписи или хеша. Принимались и абсолютные пути, и последовательности обхода каталогов, и символические ссылки.

RTLD_NOW немедленно разрешает все символы и выполняет процедуры __attribute__((constructor)) / .init_array объекта до возврата из dlopen. Следовательно, выполнение не зависит от успешности загрузки — для запуска полезной нагрузки не требуется наличие ни одной из точек входа TRITONBACKEND_ModelBatch*, и она выполняется с привилегиями процесса Triton (часто root в NGC-контейнерах).

Выполнение

Путь в коде (по состоянию на 26.05)

src/backend_model.cc — ввод атакующего достигает batch_libpath и проверяется только на существование:

if (model_config.parameters().contains("TRITON_BATCH_STRATEGY_PATH")) {
  batch_libpath = model_config.parameters()
                      .at("TRITON_BATCH_STRATEGY_PATH")
                      .string_value();
  bool exists = false;
  RETURN_IF_ERROR(FileExists(batch_libpath, &exists));
  if (!exists) {
    return Status(
        triton::common::Error::Code::NOT_FOUND,
        ("Batching library path not found: " + batch_libpath).c_str());
  }
}

Примечательно отсутствие какого-либо вызова IsChildPathEscapingParentPath, который Triton уже применял к путям меток (label paths) и путям библиотек бэкендов в других местах того же файла.

src/backend_model.cc — SetBatchingStrategy передаёт его дальше:

Status TritonModel::SetBatchingStrategy(const std::string& batch_libpath)
{
  std::unique_ptr<SharedLibrary> slib;
  RETURN_IF_ERROR(SharedLibrary::Acquire(&slib));
  RETURN_IF_ERROR(slib->OpenLibraryHandle(batch_libpath, &batch_dlhandle_));

src/shared_library.cc — sink (точка выполнения):

*handle = dlopen(path.c_str(), RTLD_NOW | RTLD_LOCAL);

Достижимость

Три практических пути к контролю над model_config.parameters():

1. Мультитенантное хранилище моделей. Арендатор, владеющий config.pbtxt своей модели, размещает .so в собственном каталоге и указывает параметр на него. Полезная нагрузка выполняется с привилегиями сервера, что даёт доступ к весам, секретам и GPU всех остальных арендаторов.
2. API переопределения файлов. TRITONSERVER_ServerLoadModelWithParameters вместе с документированным префиксом параметра file:<rel-path> позволяет вызывающей стороне с правами на загрузку моделей передать config.pbtxt и .so в одном запросе и немедленно запустить загрузку. Доступ к файловой системе вне API не требуется.
3. Скомпрометированное зеркало хранилища моделей. Зеркала S3, GCS, Azure Blob или NGC, считающиеся авторитетным источником артефактов моделей. Тот, кто контролирует зеркало, поставляет оба файла; Triton загружает их и вызывает dlopen по требованию.

Доказательство концепции

poc/ содержит примитив, урезанный до того, что делает OpenLibraryHandle. Только исходный код — соберите его самостоятельно:

$ cd poc && ./build.sh
$ gcc -O0 -o test_dlopen test_dlopen.c -ldl
$ ./test_dlopen ./evil.so
dlopen OK, handle=0x55d1779652c0
$ cat /tmp/triton_dlopen_rce_proof.log
[triton-dlopen-rce] constructor fired @ Fri May  1 09:56:56 2026
  pid=240157  uid=1000  euid=1000  cwd=/opt/poc

Полезная нагрузка инертна: она дописывает одну строку с pid, uid, euid и cwd. Проверено на Debian 13, GCC 14.2, x86_64.

Для триггера на стороне Triton поместите собранный evil.so рядом с poc/config.pbtxt в хранилище моделей и загрузите модель — автозагрузкой, через --load-model или POST /v2/repository/models/evil_model/load. На затронутой версии конструктор срабатывает во время SetBatchingStrategy, до любого поиска символов бэкенда.

Обнаружение

Загрузка логируется самим Triton на уровне INFO:

Loading custom batching strategy library <path> for model <name>

На исправленной сборке отклонённая попытка проявляется как Batching library path escapes model repository.

Любое значение TRITON_BATCH_STRATEGY_PATH, которое является абсолютным, содержит .. или разрешается за пределы каталога модели, заслуживает алерта независимо от версии. Sigma-правило, покрывающее и строку лога, и параметр конфигурации, находится в detection/.

Дополнительные сигналы:

• Файлы config.pbtxt, вообще содержащие параметр TRITON_BATCH_STRATEGY_PATH, — на практике эта функция редка, поэтому одно лишь наличие уже является полезным фильтром.
• Разделяемые объекты, появляющиеся внутри хранилища моделей и не являющиеся артефактами бэкендов.
• openat/mmap файла .so за пределами корня модели процессом tritonserver (auditd, eBPF или Falco).

Смягчение последствий

Обновитесь до Triton Inference Server 26.06 или новее. Исправление добавляет проверку на выход за пределы каталога, которой не хватало загрузчику:

bool escapes{true};
RETURN_IF_ERROR(IsChildPathEscapingParentPath(
    batch_libpath, localized_model_dir->Path(), &escapes));
if (escapes) {
  return Status(
      Status::Code::INVALID_ARG,
      "Batching library path escapes model repository.");
}

Если обновление невозможно сразу, компенсирующие меры контроля:

• Отклоняйте или удаляйте TRITON_BATCH_STRATEGY_PATH из каждого config.pbtxt, прежде чем он попадёт в хранилище моделей.
• Считайте хранилище моделей границей доверия: ни одна недоверенная сторона не должна писать в него, а удалённые зеркала должны проверяться на целостность перед синхронизацией.
• Отключите путь загрузки через переопределение файлов (--model-control-mode в значении, отличном от explicit, либо авторизацию на конечных точках репозитория), если он не требуется.
• Запускайте tritonserver от непривилегированного пользователя с хранилищем моделей, смонтированным в режиме только для чтения, чтобы успешная загрузка имела минимально возможный радиус поражения.
• Проверяйте хеш или подпись артефактов моделей перед загрузкой.

Соответствие: MITRE ATT&CK T1574.006 Hijack Execution Flow: Dynamic Linker Hijacking и T1129 Shared Modules; NIST SP 800-53r5 SI-7, CM-5, SC-18; CIS Controls v8 §2, §4.

Хронология

Ссылки

• Бюллетень безопасности NVIDIA 5865 — https://github.com/NVIDIA/product-security/blob/main/2026/5865/5865.md
• Запись CVE — https://github.com/NVIDIA/product-security/blob/main/2026/5865/CVE-2026-47630.json
• triton-inference-server/core — https://github.com/triton-inference-server/core
• Безопасность продуктов NVIDIA — https://www.nvidia.com/security/

Лицензия

MIT — см. LICENSE.