CVE-2026-102895: Уязвимость неправильной аутентификации в GPUStack

Запись CVE, приведенная на ThreatInt, присваивает CVE-2026-102895 рейтинг КРИТИЧЕСКАЯ: 9.8[2]. В ней указано, что запись была опубликована 2026-11-04[2].Согласно описанию CVE, воспроизведенному VulDB, до версии 2.2.0 код аутентификации GPUStack рассматривал запрос с источником обратного цикла как встроенного администратора, когда force_auth_localhost был ложным, что являлось значением по умолчанию[3].В справочнике консультативных сведений GitLab указано, что когда GPUStack работает за обратным прокси-сервером на том же хосте, каждый удаленный запрос поступает в GPUStack с TCP-пиром 127.0.0.1, поэтому срабатывает ветвь автоматического администратора обратного цикла[4]. Также в нем указано, что поддельный заголовок X-GPUStack-Real-IP: 127.0.0.1 может привести к тому, что источник запроса будет рассматриваться как обратный цикл[4].В записи CVE указано, что обход позволил создание постоянного ключа API администратора, раскрытие секретов воркера и облачного провайдера, а также выполнение кода[2]. Также указывается, что эксплуатация была замечена в дикой природе против развертывания версии 2.1.1[2].По данным SecurityOnline, исследователь Хавьер Сикстo из ulex.fr сообщил об активных атаках в дикой природе[1].Ostorlab сообщает, что GPUStack 2.2.0 выпущена с исправлением[5] 18 июня 2026 г. Компания указывает, что обновление закрывает уязвимость, но сохраняет существующих пользователей и ключи API[5], и рекомендует пользователям отозвать неизвестные ключи администратора и ротировать учетные данные воркера и облака[5].Ostorlab указала, что уязвимость отсутствовала в каталоге известных эксплуатируемых уязвимостей CISA по состоянию на 5 ноября 2026 г.[5]. Более позднее автоматическое оповещение GitHub указывает, что она В CISA KEV: Да[6], с датой выполнения KEV: 2026-11-12[6].