CVE-2026-103002
GPUStack: Missing authorization on several cluster and resource endpoints allows cross-user access and cluster takeover
CVSS 3.1Medium
8.8/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите GPUStack до версии 2.2.2.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Компонент cluster_apiserver_proxy в GPUStack пересылает запросы к кластеру Kubernetes без проверки авторизации на уровне ресурсов. Это позволяет аутентифицированному пользователю без прав администратора получить несанкционированный межпользовательский доступ и захватить кластер.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Прокси использовал учетные данные Kubernetes ServiceAccount доступного рабочего узла, в рамках прав которого инициатор мог читать конфиденциальные ресурсы, создавать, изменять или удалять рабочие нагрузки. Для эксплуатации требовался кластер с провайдером Kubernetes и доступным воркером, а создание подконтрольных нагрузок могло привести к выполнению кода в целевом кластере.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Чтение конфиденциальных ресурсов, создание, модификация и удаление рабочих нагрузок в рамках прав ServiceAccount воркера, а также возможность выполнения кода в целевом кластере Kubernetes.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)
- github.comhttps://github.com/gpustack/gpustack/security/advisories/GHSA-3hch-x692-6qj3
- github.comhttps://github.com/gpustack/gpustack/pull/5911
- github.comhttps://github.com/gpustack/gpustack/pull/5936
- github.comhttps://github.com/gpustack/gpustack/commit/363191fa1da7e1426c6041f78b3cf00aff2622fe
- github.comhttps://github.com/gpustack/gpustack/commit/cdd67467e0f314609dc82216e142940d321abfed
- github.comhttps://github.com/gpustack/gpustack/releases/tag/v2.2.2
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-103002: GPUStack: Missing authorization on several cluster and resource endpoints allows cross-user access and cluster takeover. URL: https://cve.futuretools.ru/cve/CVE-2026-103002
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_103002,
title = {{CVE-2026-103002: GPUStack: Missing authorization on several cluster and resource endpoints allows cross-user access and cluster takeover}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-103002}},
note = {Оперативный инженерный анализ киберугроз}
}