CVE-2026-102895: GPUStack-Authentifizierungslücke

Der CVE-Eintrag, wie von ThreatInt aufgelistet, bewertet CVE-2026-102895 KRITISCH: 9,8[2]. Der Eintrag besagt, dass der Datensatz am 2026-11-04 veröffentlicht wurde[2].Laut der von VulDB reproduzierten CVE-Beschreibung behandelte GPUStack vor Version 2.2.0 in seinem Authentifizierungscode eine Loopback-Anforderungsquelle als den integrierten Administrator, wenn force_auth_localhost false war, was die Standardeinstellung war[3].Die GitLab Advisory Database besagt, dass wenn GPUStack hinter einem Reverse Proxy auf demselben Host läuft, jede Remote-Anfrage GPUStack mit TCP-Peer 127.0.0.1 erreicht, sodass der Loopback-Auto-Admin-Zweig aktiviert wird[4]. Sie besagt auch, dass ein gefälschter X-GPUStack-Real-IP: 127.0.0.1-Header dazu führen kann, dass die Anfragequelle als Loopback behandelt wird[4].Der CVE-Eintrag besagt, dass die Umgehung die persistente Erstellung von Administrator-API-Schlüsseln, die Offenlegung von Worker- und Cloud-Provider-Secrets sowie Code-Ausführung ermöglichte[2]. Er fügt hinzu, dass eine Ausnutzung in der freien Natur gegen eine 2.1.1-Bereitstellung beobachtet wurde[2].Laut SecurityOnline meldete der Forscher Javier Sixto von ulex.fr aktive Angriffe in der freien Natur[1].Ostorlab berichtet, dass GPUStack 2.2.0 mit der Reparatur veröffentlicht wurde[5] am 18. Juni 2026. Das Upgrade schließt die Umgehung, hinterlässt aber bestehende Benutzer und API-Schlüssel unverändert[5], und es rät Benutzern, unbekannte Administrator-Schlüssel zu widerrufen und die Worker- und Cloud-Anmeldedaten zu rotieren[5].Ostorlab sagte, dass der Fehler nicht im CISA-Katalog "Known Exploited Vulnerabilities" (KEV) vom 5. November 2026 aufgeführt war[5]. Eine spätere automatisierte GitHub-Benachrichtigung listet ihn auf In CISA KEV: Ja[6], mit einem KEV-Wartungsfrist: 2026-11-12[6].