何が起きたか
GPUStack 0.7.1から2.2.2では、/auth/saml/callbackエンドポイントがSAML XMLをデコードし、そのNameID/属性を使用してユーザーを解決またはプロビジョニングし、OneLogin_Saml2_Auth.process_responseを呼び出して署名、発行者、対象者、宛先、または時間条件を検証せずにgpustack_session JWTを発行しました。任意のネットワーククライアントが、管理者を含む既存ユーザーのIDを送信するか、SAMLが構成されていない場合でも新しい非管理者アカウントをプロビジョニングできました。応答/アサーション識別子が消費されなかったため、キャプチャされた署名付き応答もリプレイ可能でした。
なぜ重要か
これは同じAIインフラ制御プレーンにおける2番目の重大な破綻です：認証不要のリモートアクターが、事前の資格情報なしで、SAMLが有効かどうかに関係なく、AIサービング用GPUクラスタマネージャーの管理者としてログインを偽装できます。NVD/CISAはこれをCVSS 9.1（重要）と評価し、自動化可能で技術的影響は完全です；修正は2.2.2のみ（2.2.0で修正されたCVE-2026-102895ループバックバイパスとは別）。
攻撃経路
SAMLコールバックエンドポイントへの認証不要のリモートリクエストで、偽造またはリプレイされた（未検証の）IDを運び、管理者セッションJWTを発行。
影響を受けるシステム
GPUStack 0.7.1 – 2.2.1 (CVE-2026-102894, CWE-294/CWE-347)、2.2.2で修正
緩和策
SAML応答を検証するGPUStack 2.2.2+にアップグレード；SAMLを使用しない場合でも、コールバックを無効化/アップグレードし、エンドポイントの到達可能性を制限。