무슨 일이 있었나
gpustack/api/auth.py의 get_current_user는 force_auth_localhost가 false(기본값)일 때 루프백 소스를 내장 관리자로 취급했습니다. 클라이언트 IP 가져오기가 동일 호스트 역방향 프록시 피어 또는 클라이언트가 제공한 X-GPUStack-Real-IP 루프백 값을 신뢰했기 때문에, 순수 원격 요청이 localhost로 가장할 수 있었습니다. 이로써 인증 없는 전체 관리자 액세스가 가능해졌으며, inference-backends-from-yaml 엔드포인트를 통한 비밀 정보 노출 및 RCE까지 포함됩니다.
왜 중요한가
GPUStack은 GPU 플릿에서 AI 모델을 서빙하고 프로비저닝하는 데 사용됩니다. 원격의 인증되지 않은 행위자가 AI 서빙 클러스터의 제어 평면을 장악하고, 클라우드/워커 자격 증명을 읽고, 매니저에서 코드를 실행할 수 있어, 단일 개방 포트가 AI 모델 서빙 인프라의 완전한 손상으로 이어질 수 있습니다.
공격 경로
client_ip_getter가 동일 호스트 역방향 프록시 피어 또는 클라이언트가 제공한 X-GPUStack-Real-IP 루프백 값을 허용하기 때문에 원격 요청이 127.0.0.1에서 온 것처럼 보이게 할 수 있습니다. 인증되지 않은 공격자는 관리자 권한의 get_current_user에 접근하여 사용자/모델 변경, 영구 관리자 API 키 생성, 워커 및 클라우드 제공자 비밀 정보 노출, POST /v2/inference-backends/from-yaml을 통한 코드 실행이 가능해집니다.
영향받는 시스템
GPUStack < 2.2.0 (또한 0.7.1–2.2.2의 CVE-2026-102894 SAML 우회, 2.2.0–2.2.2의 CVE-2026-103002 cluster_apiserver_proxy 인증z 갭)
완화 방안
GPUStack 2.2.0으로 업그레이드 (SAML/프록시 문제의 경우 2.2.2); GHSA-gj9m-f8ph-pmhr 및 v2.2.0 태그 참조. 업그레이드 전에 생성된 관리자 API 키 및 워커/클라우드 비밀 정보를 검토하세요.