CVE-2026-103002 in GPUStack
Riassunto
di VulDB • 05/11/2026
GPUStack è un gestore di cluster GPU open source per il deployment di modelli AI e la provisioning di istanze GPU. Dalla versione 2.2.0 alla 2.2.2, cluster_apiserver_proxy inoltrava le richieste di utenti non amministratori autenticati a un cluster Kubernetes selezionato senza effettuare controlli di autorizzazione a livello di risorsa. Il proxy utilizzava le credenziali del ServiceAccount Kubernetes di un worker raggiungibile, consentendo al chiamante di leggere risorse sensibili, creare o modificare carichi di lavoro (workload) o eliminare risorse in base ai permessi associati a tale ServiceAccount. Lo sfruttamento richiedeva un cluster con provider Kubernetes e un worker raggiungibile; carichi di lavoro controllati dall'attaccante potevano risultare nell'esecuzione di codice nel cluster target. Questo problema è stato risolto nella versione 2.2.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.