CVE-2026-102895 in GPUStack
요약
\~에 의해 VulDB • 2026. 11. 04.
GPUStack은 AI 모델 서빙 및 GPU 인스턴스 프로비저닝을 위한 오픈소스 GPU 클러스터 관리자입니다. 버전 2.2.0 이전에는 `gpustack/api/auth.py`의 `get_current_user`가 `force_auth_localhost`가 false일 때(기본값임) 루프백 요청 소스를 내장된 관리자로 처리했습니다. `client_ip_getter`는 동일 호스트 리버스 프록시 피어 또는 클라이언트가 제공한 X-GPUStack-Real-IP 루프백 값을 허용했기 때문에 원격 요청이 127.0.0.1에서 발생한 것처럼 보일 수 있었습니다. 이 우회로 인해 인증되지 않은 관리자 액세스가 가능해졌으며, 여기에는 사용자 및 모델 변경, 영구적인 관리자 API 키 생성, 워커 및 클라우드 제공업체의 시크릿 유출, 그리고 POST /v2/inference-backends/from-yaml을 통한 코드 실행이 포함됩니다. 실제 환경에서 2.1.1 배포판에 대한 익스플로이트가 관찰되었습니다. 이 문제는 버전 2.2.0에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.