CVE-2026-24206 CVSS 7.3 高危

CVE-2026-24206 NVIDIA Triton认证绕过漏洞

披露日期: 2026-05-20

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-24206

漏洞类型

认证绕过

CVSS评分

7.3 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

NVIDIA Triton Inference Server

漏洞概述

NVIDIA Triton Inference Server被曝出存在高危认证绕过漏洞（CVE-2026-24206）。由于服务器端身份验证逻辑存在缺陷，未经授权的远程攻击者可在无需用户交互的情况下绕过安全检查。成功利用此漏洞可能导致攻击者获取敏感信息、造成服务拒绝或提升权限，严重影响系统的机密性、完整性和可用性。

技术细节

该漏洞的核心在于NVIDIA Triton Inference Server的身份验证模块存在逻辑缺陷。Triton作为高性能推理服务，通常通过HTTP/REST或gRPC接口提供服务，用于部署和运行AI模型。在受影响版本中，服务器在验证特定API请求（如模型管理或健康检查）的凭证时，未能正确校验令牌的完整性或会话状态。攻击者无需拥有有效凭证（PR:N），即可通过网络（AV:N）发送特制的恶意请求绕过这一检查。一旦绕过认证，攻击者即可利用推理服务器的管理接口，执行未经授权的操作。这可能包括修改推理模型配置导致拒绝服务（A:L），读取敏感的模型元数据或加载的权重信息导致信息泄露（C:L），甚至通过加载恶意模型库导致服务器上下文中的权限提升（I:L）。由于攻击链路简单且无需交互，该漏洞具有较高的利用价值。

攻击链分析

STEP 1

1. 信息收集

攻击者扫描网络，寻找暴露的NVIDIA Triton Inference Server服务（默认端口8000/8001）。

STEP 2

2. 发送特制请求

攻击者向受影响的服务器端点发送未包含有效认证信息的特制HTTP请求。

STEP 3

3. 触发绕过漏洞

由于存在逻辑缺陷，服务器未能正确校验请求，直接接受并处理了未授权的请求。

STEP 4

4. 达成攻击目的

攻击者获取敏感数据、导致服务拒绝或通过加载恶意模型进一步提权。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Exploit Title: NVIDIA Triton Inference Server Authentication Bypass PoC
# Description: This script attempts to access restricted endpoints without valid credentials.

TARGET_URL = "http://127.0.0.1:8000/v2/models"

# Attempt to access the model list endpoint which should be protected
try:
    # Send request without authentication headers to exploit the bypass
    response = requests.get(TARGET_URL, timeout=10)
    
    if response.status_code == 200:
        print("[+] Vulnerability Confirmed: Authentication Bypass Successful!")
        print("[+] Response:", response.text)
    else:
        print(f"[-] Status Code: {response.status_code}. Bypass may not be possible or endpoint is different.")
        
except Exception as e:
    print(f"[!] Error connecting to target: {e}")

影响范围

NVIDIA Triton Inference Server (具体受影响版本请参考NVIDIA安全公告)

防御指南

临时缓解措施

在未完成补丁更新前，建议将Triton Inference Server部署在隔离的内网环境中，并配置严格的防火墙规则以阻断外部访问。同时，应启用详细的访问日志记录，以便及时发现潜在的攻击行为。建议关注NVIDIA官方公告，获取并应用最新的安全补丁。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表