Aanvallers misbruiken lek in GPUStack om beheerderscontrole te krijgen zonder in te loggen

Wat is er gebeurd

GPUStack behandelde elk verzoek dat van de server zelf leek te komen als afkomstig van de ingebouwde beheerder. Deze snelkoppeling was standaard actief, omdat de instelling force_auth_localhost standaard op false stond.

Een aanvaller op het netwerk kon een verzoek op afstand er lokaal uit laten zien. Een route was een reverse proxy die op dezelfde host draait. De andere was een vervalst loopback-adres dat de client in een verzoekheader meestuurde. In beide gevallen krijgt de aanvaller beheerderstoegang zonder wachtwoord.

Met die toegang kan een aanvaller gebruikers en modellen wijzigen, beheerders-API-sleutels aanmaken die geldig blijven, geheimen van workers en cloudproviders uitlezen en code uitvoeren op de server. Aanvallen hebben al een installatie met versie 2.1.1 getroffen. CISA heeft het lek op 9 november 2026 toegevoegd aan de catalogus Known Exploited Vulnerabilities.

Wie is getroffen

Alle GPUStack-releases vóór 2.2.0 zijn kwetsbaar. Installaties die de standaardwaarde false van force_auth_localhost hebben behouden, accepteren deze vervalste lokale verzoeken als de beheerder.

Hoe ernstig is het

Het lek heeft een CVSS-score van 9,8 op een schaal van 10. Een aanvaller heeft geen account en geen hulp van een gebruiker nodig en kan de server via het netwerk bereiken. Succesvolle aanvallen geven volledige controle over de vertrouwelijkheid, integriteit en beschikbaarheid van de clustermanager, inclusief het uitvoeren van code. Misbruik is bevestigd, waardoor dit een kwestie is van direct patchen voor iedereen die een kwetsbare versie draait.

Wat moet u doen

1. 1Werk GPUStack bij naar versie 2.2.0.
2. 2Volg de mitigatierichtlijnen van de leverancier als u niet direct kunt updaten.
3. 3Amerikaanse federale instanties moeten de oplossing of mitigaties vóór 12 november 2026 toepassen onder de richtlijn van CISA, of het product niet meer gebruiken als er geen mitigatie beschikbaar is.
4. 4Volg de forensische triagerichtlijnen van CISA en controleer op beheerders-API-sleutels, gebruikers of modellen die u niet zelf hebt aangemaakt.

Kerngegevens