CVE-2026-102895: Vulnerabilidad de Autenticación Impropia en GPUStack

El registro de CVE, según figura en ThreatInt, califica CVE-2026-102895 CRÍTICO: 9.8[2]. Dice que el registro fue Publicado 2026-11-04[2].Según la descripción del CVE reproducida por VulDB, antes de la versión 2.2.0, el código de autenticación de GPUStack trataba una fuente de solicitud loopback como el administrador integrado cuando force_auth_localhost era falso, que era el valor predeterminado[3].La Base de Datos de Avisos de GitLab dice que cuando GPUStack se ejecuta detrás de un proxy inverso del mismo host, cada solicitud remota llega a GPUStack con peer TCP 127.0.0.1, por lo que se activa la rama de loopback auto-admin[4]. También dice que un encabezado X-GPUStack-Real-IP: 127.0.0.1 falsificado puede hacer que la fuente de la solicitud sea tratada como loopback[4].El registro de CVE dice que el bypass permitió la creación persistente de claves API administrativas, divulgación de secretos de worker y proveedor de nube, y ejecución de código[2]. Añade que se observó explotación en la práctica contra una implementación de 2.1.1[2].Según SecurityOnline, el investigador Javier Sixto de ulex.fr reportó ataques activos en la práctica[1].Ostorlab reporta que GPUStack 2.2.0 se lanza con la corrección[5] el 18 de junio de 2026. Dice que la actualización cierra el bypass pero deja a los usuarios existentes y las claves API en su lugar[5], y recomienda a los usuarios revocar claves administrativas desconocidas y rotar las credenciales de worker y nube[5].Ostorlab dijo que la falla no estaba en el catálogo de Vulnerabilidades Conocidas Explotadas de CISA al 5 de noviembre de 2026[5]. Una alerta automatizada de GitHub posterior la lista En CISA KEV: Sí[6], con una fecha de vencimiento de remediación KEV: 2026-11-12[6].