CVE-2026-102895

CVE-2026-102895 betrifft GPUStack, einen Open-Source-GPU-Cluster-Manager. Die Schwachstelle liegt in der Authentifizierungslogik (get_current_user in gpustack/api/auth.py), die Loopback-Anfragen fälschlicherweise als Administrator behandelt, wenn force_auth_localhost auf den Standardwert "false" gesetzt ist. Dies ermöglicht unauthentifizierten administrativen Zugriff auf das System. Die Auswirkungen umfassen die Änderung von Benutzern und Modellen, die Erstellung persistenter Administrator-API-Schlüssel, die Offenlegung von Worker- und Cloud-Provider-Geheimnissen sowie die Ausführung von Code über POST /v2/inference-backends/from-yaml. Die Schwachstelle wird aktiv ausgenutzt, wie Beobachtungen gegen eine 2.1.1-Bereitstellung zeigen. Mit einem CVSS-Score von 9.8 (CRITICAL) und der Aufnahme in den CISA KEV-Katalog ist diese Schwachstelle als äußerst kritisch einzustufen. Obwohl der EPSS-Wert bei 0% liegt, überwiegt die Tatsache der aktiven Ausnutzung die statistische Vorhersage. Security-Teams sollten umgehend alle GPUStack-Instanzen auf Version 2.2.0 oder höher aktualisieren, um diese kritische Schwachstelle zu beheben. Eine Priorisierung dieser Maßnahme ist aufgrund der aktiven Ausnutzung und des administrativen Zugriffspotenzials unerlässlich. Zusätzlich sollte die Überwachung auf ungewöhnliche Aktivitäten oder unautorisierte Zugriffe verstärkt werden.