CVE-2026-103002
WysokieCVSS 8.8Streszczenie
W GPUStack od wersji 2.2.0 do 2.2.2 komponent cluster_apiserver_proxy przekazywał uwierzytelnione żądania użytkownika niebędącego administratorem do wybranego klastra Kubernetes bez sprawdzenia uprawnień na poziomie zasobów. Proxy korzystał z poświadczeń ServiceAccount osiągalnego workera, co pozwalało czytać wrażliwe zasoby, tworzyć lub modyfikować obciążenia albo usuwać zasoby zgodnie z uprawnieniami tego konta. Podatność naprawiono w wersji 2.2.2.
Ocena ryzyka
Użytkownik z niskimi uprawnieniami może uzyskać szeroki dostęp do klastra Kubernetes, w tym wykonać kod w docelowym klastrze. Stanowi to poważne ryzyko naruszenia poufności i integralności środowiska.
Rekomendacja
Zaktualizuj GPUStack do wersji 2.2.2 lub nowszej. Do czasu aktualizacji ogranicz dostęp do proxy i zweryfikuj uprawnienia kont ServiceAccount używanych przez workery.
Inne podatności w GPUStack
Zobacz wszystkie- CVE-2026-102895Krytyczne
GPUStack przed wersją 2.2.0 traktował żądania pochodzące z pętli zwrotnej jako pochodzące od wbudowanego administratora, gdy force_auth_localhost było wyłączone (domyślnie). Zdalne żądanie mogło wyglądać na pochodzące z 127.0.0.1, co pozwalało na nieuwierzytelniony dostęp administracyjny, w tym zmianę użytkowników i modeli, tworzenie trwałych kluczy API administratora, ujawnianie sekretów oraz wykonanie kodu.
- CVE-2026-102894Krytyczne
GPUStack w wersjach od 0.7.1 do 2.2.2 zawiera endpoint /auth/saml/callback, który dekoduje XML SAML i używa NameID oraz atrybutów do uwierzytelnienia lub utworzenia użytkownika bez weryfikacji podpisu, wystawcy, odbiorcy, miejsca docelowego ani warunków czasowych. Dowolny klient sieciowy może podszyć się pod istniejącego użytkownika, w tym administratora, lub utworzyć nowe konto, nawet gdy SAML nie jest skonfigurowany.
- CVE-2026-58658Wysokie
GPUStack do wersji 2.2.1 zawiera nieuwierzytelnioną podatność ujawniania informacji, która pozwala atakującym na dostęp do wrażliwych logów inferencji oraz modyfikację konfiguracji pracownika poprzez niechronione punkty końcowe /serveLogs i /debug na porcie pracownika. Atakujący mogą wyliczać identyfikatory instancji modeli, aby strumieniować logi zawierające prompty i odpowiedzi, zmieniać poziomy logowania oraz odczytywać dane profilowania pamięci bez żadnego uwierzytelnienia.
Oryginalny opis (angielski, źródło NVD)
GPUStack is an open-source GPU cluster manager for AI model serving and GPU instance provisioning. From 2.2.0 until 2.2.2, cluster_apiserver_proxy forwarded an authenticated non-administrator's requests to a selected Kubernetes cluster without a resource-level authorization check. The proxy used a reachable worker's Kubernetes ServiceAccount credentials, so the caller could read sensitive resources, create or modify workloads, or delete resources according to that ServiceAccount's permissions. Exploitation required a Kubernetes-provider cluster with a reachable worker, and attacker-controlled workloads could result in code execution in the target cluster. This issue is fixed in version 2.2.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS