GPUStack: za reverzní proxy dostane administrátorská práva kdokoli z internetu

Co se stalo

GPUStack je otevřený software (licence Apache 2.0) pro správu clusterů grafických karet, na kterých firmy a výzkumné týmy provozují vlastní AI modely, například přes vLLM nebo SGLang. Projekt má na GitHubu přes 6 000 hvězdiček.

Americká agentura CISA zařadila 9. listopadu 2026 chybu CVE-2026-102895 do katalogu prokazatelně zneužívaných zranitelností (KEV) a federálním úřadům dala na nápravu čas jen do 12. listopadu 2026. Chyba přitom není nová: opravu obsahuje verze 2.2.0 z 18. června 2026 a výrobce ji popsal v bezpečnostním upozornění GHSA-gj9m-f8ph-pmhr z 31. července 2026. Zasažené jsou instalace, které od léta neaktualizovaly.

Podle výrobce útočníci chybu zneužili proti instalaci verze 2.1.1: vytvořili si vlastní inferenční backendy, které na serverech spustily reverzní shell (vzdálené ovládání příkazové řádky).

Jak vážné to je

Kdo ovládne GPUStack, ovládne celý cluster: uživatele, modely, pracovní servery i nastavení. Podle výrobce může číst přístupové údaje pracovních serverů a tajné klíče poskytovatelů cloudu a spouštět kód na serverech s grafickými kartami.

Technické podrobnosti

Chyba je ve funkci get_current_user (soubor gpustack/api/auth.py). Když je volba force_auth_localhost vypnutá, což je výchozí stav, funkce každý požadavek, který podle ní přišel z místní adresy (loopback, 127.0.0.1), obslouží jako vestavěného administrátora bez hesla.

Výrobce popisuje dvě cesty, jak dosáhnout toho, aby požadavek z internetu vypadal jako místní:

• Reverzní proxy na stejném serveru. Když před GPUStack stojí nginx, Caddy nebo jiná proxy na téže stanici, připojuje se k aplikaci z 127.0.0.1. Každý požadavek z internetu tak vypadá jako místní, a to bez jakékoli zvláštní hlavičky.
• Podvržená hlavička. Klient může sám poslat hlavičku X-GPUStack-Real-IP s místní adresou a aplikace jí uvěří.

Příčinou je podle výrobce to, že aplikace brala síťový původ požadavku jako důkaz identity. S právy administrátora pak útočník může přes rozhraní POST /v2/inference-backends/from-yaml založit vlastní backend, a tím spustit kód na pracovních serverech. Verze 2.2.0 automatické přihlášení z místní adresy odstranila a zpřísnila zpracování hlaviček s adresou klienta.

Návod ke zneužití tu z principu neuvádíme.

Koho se to týká

Podle výrobce a NVD jsou zranitelné všechny verze GPUStack před 2.2.0. Nejvíc ohrožené jsou instalace dostupné z internetu za reverzní proxy na stejném serveru. CISA v katalogu upozorňuje, že jde o otevřenou komponentu, kterou mohou používat i jiné produkty – když GPUStack dostáváte jako součást jiného řešení, zeptejte se dodavatele na verzi.

Běžných uživatelů AI služeb se chyba přímo netýká, jednat musí správce clusteru.

Jak poznat napadení

Výrobce nezveřejnil konkrétní indikátory napadení (IP adresy, názvy souborů). Z popisu útoku podle nás vyplývá, co zkontrolovat:

• API klíče, které nikdo z vás nezaložil – útočník si podle výrobce vytváří trvalé administrátorské klíče použitelné z jakékoli adresy.
• Inferenční backendy, které neznáte, hlavně ty vytvořené přes import YAML.
• Uživatele a změny nastavení, ke kterým neexistuje práce správce.
• Logy proxy a aplikace: požadavky s hlavičkou X-GPUStack-Real-IP z internetu, administrátorské akce bez přihlášení.
• Pracovní servery: neznámé procesy a odchozí spojení (reverzní shell), spuštěné pod účtem GPUStack nebo z kontejnerů backendů.

Adresy a domény z exportu logů si vytáhnete do seznamu v našem extraktoru IOC, který běží jen ve vašem prohlížeči. Pokud napadení nelze vyloučit, berte cluster jako kompromitovaný: obnovte servery z čisté instalace a změňte všechna tajemství, ke kterým měl GPUStack přístup, včetně klíčů ke cloudu.

Co udělat

1. Zjistěte verzi všech instalací GPUStack.
2. Aktualizujte na GPUStack 2.2.0 nebo novější.
3. Když nemůžete aktualizovat hned, nastavte podle výrobce force_auth_localhost=true, aby se musely přihlašovat i místní požadavky.
4. Na proxy hlavičku X-GPUStack-Real-IP od klientů odstraňujte a nastavte proxy tak, aby provoz z internetu nevypadal jako místní (doporučení výrobce).
5. Nenechávejte API volně v internetu – přístup jen přes VPN nebo s ověřením už na proxy (doporučení výrobce).
6. Po aktualizaci projděte známky napadení podle předchozí části a zneplatněte podezřelé API klíče.

Časová osa

Aktualizace

• 10. 11. 2026 – první verze článku.