CVE-2026-102895: GPUStack 不正認証脆弱性

ThreatIntにリストされているCVEレコードではCVE-2026-102895が重大: 9.8[2]と評価されている。レコードは2026年11月4日に公開された[2]。VulDBが掲載しているCVE説明によると、バージョン2.2.0より前のGPUStackの認証コードはforce_auth_localhostがfalseの場合(デフォルト)、ループバック要求元を組み込み管理者として扱っていた[3]。GitLab Advisory Databaseによると、GPUStackが同一ホストのリバースプロキシの背後で実行されている場合、すべてのリモート要求はTCPピア127.0.0.1でGPUStackに到達するため、ループバック自動管理者ブランチが発火する[4]。また偽造されたX-GPUStack-Real-IP: 127.0.0.1ヘッダーは要求元をループバックとして扱われるようにすることができる[4]。CVEレコードはバイパスにより永続的な管理者APIキーの作成、ワーカーおよびクラウドプロバイダーのシークレット開示、およびコード実行が可能になったと述べている[2]。またバージョン2.1.1デプロイメントに対する野生での悪用が観察された[2]。SecurityOnlineによると、ulex.frの研究者Javier Sixtoが野生での活発な攻撃を報告した[1]。Ostolabが報じたところによると、GPUStack 2.2.0が修正を含めてリリースされた[5]のは2026年6月18日である。アップグレードはバイパスを閉じるが既存のユーザーとAPIキーは残されたまま[5]であり、ユーザーに対して不明な管理者キーを取り消し、ワーカーおよびクラウド認証情報をローテーションすることを推奨している[5]。Ostolabは当該脆弱性は2026年11月5日時点でCISA既知悪用脆弱性カタログに含まれていない[5]と述べた。後にGitHubアラートがこれをCISA KEVに含まれている: はい[6]とリストアップし、KEV対応期限: 2026-11-12[6]が設定されている。