CVE-2026-102895: obejście uwierzytelniania i przejęcie administratora w GPUStack

Podsumowanie

Parametr	Wartość
CVE ID	CVE-2026-102895
Źródło alertu	CISA KEV - Aktywna eksploatacja
Rok publikacji CVE	2026
Data publikacji	2026-11-09
Producent	GPUStack
Produkt	GPUStack
CVSS Score	9.8 (Krytyczny)
EPSS Score	0.3% (percentyl: 26%)
CISA KEV	Tak - potwierdzona aktywna eksploatacja
Ransomware	Nie potwierdzono
Termin na reakcję	2026-11-12

Opis podatności

Źródło: NVD, CISA KEV, GitHub Advisory GHSA-gj9m-f8ph-pmhr

GPUStack to open-source’owy menedżer klastrów GPU do serwowania modeli AI (m.in. LLM) i przydzielania instancji GPU. W wersjach starszych niż 2.2.0 funkcja get_current_user (plik gpustack/api/auth.py) traktuje każde żądanie, którego źródłem jest adres loopback, jako żądanie wbudowanego administratora — przy domyślnym ustawieniu force_auth_localhost=false. Atakujący może sprawić, że jego żądanie zostanie uznane za lokalne na dwa sposoby:

• reverse proxy na tym samym hoście — gdy GPUStack stoi za proxy przekazującym ruch na 127.0.0.1, każde zdalne żądanie dociera z adresu loopback, bez żadnego nagłówka ani poświadczeń;
• nagłówek X-GPUStack-Real-IP — sfałszowana wartość 127.0.0.1 w tym nagłówku powoduje uznanie żądania za lokalne.

Skutkiem jest pełny, nieuwierzytelniony dostęp administracyjny przez sieć: zmiany użytkowników, modeli i konfiguracji, tworzenie trwałych kluczy API administratora, odczyt poświadczeń węzłów roboczych i sekretów dostawców chmury, a przez endpoint POST /v2/inference-backends/from-yaml — wykonanie kodu na węzłach roboczych. Według GitHub Advisory luka była wykorzystywana w ataku na instalację w wersji 2.1.1 (atakujący tworzyli własne backendy uruchamiające reverse shell); CISA dodała ją do katalogu KEV.

Wymagane działania

• Zaktualizuj GPUStack do wersji 2.2.0 lub nowszej (usunięto automatyczne nadawanie uprawnień administratora dla loopback i utwardzono obsługę adresu klienta). Termin CISA dla agencji federalnych USA: 2026-11-12.
• Jeśli aktualizacja nie jest możliwa od razu: ustaw force_auth_localhost=true, usuwaj nagłówek X-GPUStack-Real-IP od klientów na brzegu (proxy, gateway) i nie wystawiaj API GPUStack do niezaufanych sieci (VPN lub uwierzytelnianie na brzegu).
• Ponieważ luka jest aktywnie wykorzystywana, po aktualizacji przyjmij założenie kompromitacji: przejrzyj listę kluczy API i kont administratorów, unieważnij nieznane klucze, sprawdź zdefiniowane backendy inferencji pod kątem nieautoryzowanych wpisów i zrotuj poświadczenia węzłów roboczych oraz sekrety dostawców chmury przechowywane w GPUStack.

Kogo dotyczy?

Podatność dotyczy organizacji, które samodzielnie hostują modele AI na własnych klastrach GPU zarządzanych przez GPUStack w wersjach starszych niż 2.2.0 — szczególnie gdy interfejs lub API GPUStack jest dostępny przez reverse proxy działające na tym samym hoście albo bezpośrednio z sieci. Warto sprawdzić także środowiska eksperymentalne i laboratoria AI zespołów data science, które często powstają poza standardowym procesem zarządzania podatnościami.

Źródła

• NVD - CVE-2026-102895
• CISA KEV Catalog
• GitHub Advisory - GHSA-gj9m-f8ph-pmhr
• GPUStack 2.2.0 - informacje o wydaniu
• FIRST EPSS

---

Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.