GPUStack 2.2.0 之前版本在預設 force_auth_localhost 為 False 時，會將被視為迴路位址的請求提升為內建管理員，攻擊者可經同主機反向代理或偽造 X-GPUStack-Real-IP 標頭取得未驗證管理權限，並可經 POST /v2/inference-backends/from-yaml 在 worker 主機執行程式碼 [1]。GPUStack 公告已觀察到針對 v2.1.1 部署的實際利用，CISA 也於 11 月 9 日將 CVE-2026-102895 列入已知遭利用漏洞目錄 [1][2]。使用者應升級至 GPUStack 2.2.0 以上，暫無法升級時設定 force_auth_localhost=true，並在邊界移除用戶端送來的 X-GPUStack-Real-IP 標頭 [1]。
GPUStack 迴路位址信任缺陷 CVE-2026-102895 遭利用並列入 KEV，可未驗證取得管理員權限
閱讀約 1 分鐘
- 揭露
- 2026年7月31日
- 發布
- 2026年11月11日
- 最後更新
- 2026年11月10日
- CVSS 依據
- 本站評估
- EPSS（30 天內遭利用機率）
- 0.5%，高於 44% 的漏洞
- 利用與修補狀態
- 已遭利用KEV已有修補
- 技術 / 系統類型
- 開源套件（npm、PyPI 等）AI / LLM 應用
- 初始入侵方式
- 漏洞利用
- 攻擊者類型
- 未知
本頁內容
30 秒摘要
受影響範圍
| 受影響範圍 | 版本 | 修補版本 | |
|---|---|---|---|
| GPUStack GPUStack | < 2.2.0[1] | 2.2.0 | ✓ 已修補 |
事件時間軸
技術細節
發生什麼
GPUStack 公告指出，2.2.0 之前版本的 get_current_user 在 force_auth_localhost 為預設值 False 時，會把來源被視為迴路位址的請求提升為內建管理員；在常見的同主機反向代理部署下，所有遠端請求的 TCP 來源都是 127.0.0.1，另也可偽造 X-GPUStack-Real-IP 標頭達成 [1]。
影響範圍
攻擊者可未經驗證列舉與修改使用者、模型與 worker，建立永久管理員 API key、讀取 worker 與雲端供應商機密，並結合 POST /v2/inference-backends/from-yaml 在 worker 主機執行程式碼 [1][2]。公告表示已觀察到針對 v2.1.1 部署的實際利用，攻擊者建立執行反向 shell 的自訂後端；CISA 於 2026 年 11 月 9 日將其列入 KEV [1][2]。
修補
2.2.0 已移除迴路位址自動提權並強化來源 IP 與轉送標頭處理 [1]。
修復指引
參考來源
官方 / 一級來源2
- [1]
“This vulnerability has been observed exploited in the wild against a v2.1.1 deployment (attacker-created custom backends running reverse shells).”
- [2]
“GPUStack contains an improper authentication vulnerability which could allow unauthenticated administrative access, including user and model changes, persistent administrator API-key creation, disclosure of worker and cloud-provider secrets”
技術諮詢
看完還不確定自己是否受影響？
告訴我們你的環境，我們協助比對這則通報、評估風險，並提供可執行的修補與監控建議。
本站內容為公開資訊整理，不構成資安顧問建議；修復步驟請先於測試環境驗證。