CVE-2026-102895: Vulnerabilidade de Autenticação Imprópria do GPUStack

O registro CVE, conforme listado na ThreatInt, classifica o CVE-2026-102895 como CRÍTICO: 9.8[2]. Diz que o registro foi Publicado 2026-11-04[2]. Conforme a descrição do CVE reproduzida pela VulDB, antes da versão 2.2.0, o código de autenticação do GPUStack tratava uma solicitação de origem loopback como o administrador integrado quando force_auth_localhost era falso, o que era o padrão[3]. O GitLab Advisory Database diz que quando o GPUStack é executado atrás de um proxy reverso no mesmo host, toda solicitação remota chega ao GPUStack com par TCP 127.0.0.1, então o branch de auto-admin loopback dispara[4]. Também diz que um cabeçalho forjado X-GPUStack-Real-IP: 127.0.0.1 pode fazer com que a origem da solicitação seja tratada como loopback[4]. O registro CVE diz que o bypass permitiu criação persistente de chave de API de administrador, divulgação de segredos de worker e provedor de nuvem, e execução de código[2]. Acrescenta que a exploração foi observada na prática contra uma implantação 2.1.1[2]. Conforme SecurityOnline, o pesquisador Javier Sixto da ulex.fr reportou ataques ativos na prática[1]. Ostorlab reporta que GPUStack 2.2.0 é lançado com a correção[5] em 18 de junho de 2026. Diz que a atualização fecha o bypass mas deixa usuários existentes e chaves de API intactos[5]. e recomenda aos usuários que revoguem chaves de administrador desconhecidas e rotacionem as credenciais de worker e nuvem[5]. Ostorlab disse que a falha estava não no catálogo Known Exploited Vulnerabilities da CISA em 5 de novembro de 2026[5]. Um alerta automatizado posterior do GitHub a lista como Em CISA KEV: Sim[6], com uma data de remediação KEV: 2026-11-12[6].