何が起きたか
gpustack/api/auth.py内のget_current_userは、force_auth_localhostがfalse（デフォルト）の場合、ループバックソースを組み込み管理者として扱いました。クライアントIP取得器が同一ホストのリバースプロキシピアまたはクライアント提供のX-GPUStack-Real-IPループバック値を信頼していたため、純粋にリモートからのリクエストがlocalhostになりすますことができました。これにより、秘密情報の開示や、inference-backends-from-yamlエンドポイントを介したRCEを含む、未認証の完全な管理者アクセスが許可されました。
なぜ重要か
GPUStackは、GPUフリート上でAIモデルを提供およびプロビジョニングするために使用されます。リモートの未認証の攻撃者は、AIサービングクラスタのコントロールプレーンを乗っ取り、クラウド/ワーカーの認証情報を読み取り、マネージャー上でコードを実行することができ、単一の開放ポートをAIモデルサービングインフラストラクチャの完全な侵害に変えることができます。
攻撃経路
client_ip_getterが同一ホストのリバースプロキシピアまたはクライアント提供のX-GPUStack-Real-IPループバック値を受け入れるため、リモートリクエストを127.0.0.1からの発信に見せかけることができます。その後、未認証の攻撃者はget_current_user-as-adminに到達し、ユーザー/モデルの変更、永続的な管理者APIキーの作成、ワーカーおよびクラウドプロバイダーの秘密情報の開示、およびPOST /v2/inference-backends/from-yamlを介したコード実行が可能になります。
影響を受けるシステム
GPUStack < 2.2.0（0.7.1～2.2.2のCVE-2026-102894 SAMLバイパス、および2.2.0～2.2.2のCVE-2026-103002 cluster_apiserver_proxy認可ギャップも含む）
緩和策
GPUStack 2.2.0（SAML/プロキシ問題については2.2.2）にアップグレードしてください。GHSA-gj9m-f8ph-pmhrおよびv2.2.0タグを参照してください。アップグレード前に作成された管理者APIキーとワーカー/クラウドの秘密情報を確認してください。