CVE-2026-102895: Уразливість неналежної аутентифікації GPUStack

Запис CVE, наведений на ThreatInt, оцінює CVE-2026-102895 як КРИТИЧНИЙ: 9.8[2]. Там зазначено, що запис був опублікований 2026-11-04[2]. За описом CVE, відтвореним VulDB, до версії 2.2.0 код аутентифікації GPUStack розглядав локальне джерело запиту як вбудованого адміністратора, коли force_auth_localhost був false, що було налаштуванням за замовчуванням[3]. База даних консультацій GitLab повідомляє, що коли GPUStack працює за зворотним проксі-сервером на одному хості, кожен віддалений запит надходить до GPUStack з TCP peer 127.0.0.1, тому гілка локального автоматичного адміністратора спрацьовує[4]. Там також сказано, що підроблений заголовок X-GPUStack-Real-IP: 127.0.0.1 може призвести до того, що джерело запиту розглядатиметься як локальне[4]. Запис CVE повідомляє, що обхід дозволив постійне створення адміністративного API-ключа, розкриття секретів воркера та хмарного провайдера та виконання коду[2]. Він додає, що експлуатація спостерігалася в дикій природі проти розгортання версії 2.1.1[2]. За словами SecurityOnline, дослідник Хав'єр Сікето з ulex.fr повідомив про активні атаки в дикій природі[1]. Ostorlab повідомляє, що GPUStack 2.2.0 випущена з виправленням[5] 18 червня 2026 року. Компанія повідомляє, що оновлення закриває обхід, але залишає існуючих користувачів та API-ключи на місці[5], і рекомендує користувачам відкликати невідомі адміністративні ключі та ротувати облікові дані воркера та хмари[5]. Ostorlab повідомила, що помилка була не в каталозі CISA Known Exploited Vulnerabilities станом на 5 листопада 2026 року[5]. Пізніше автоматизований сигнал GitHub указує на те, що вона У CISA KEV: Так[6], з датою виправлення KEV: 2026-11-12[6].