GPUStack'teki kimlik doğrulama atlatma açığı saldırılarda kullanılıyor

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 9 Kasım’da açık kaynaklı GPU küme yöneticisi GPUStack’teki CVE-2026-102895’i saldırılarda kullanılan açıklar listesine (KEV) ekledi. CVE kaydına göre GPUStack, yapay zekâ modellerinin sunulması ve GPU kaynaklarının sağlanması için kullanılan bir küme yöneticisi. Açık kimlik doğrulamanın atlatılmasına izin veriyor ve 2.2.0 öncesi sürümleri etkiliyor. CISA, ABD federal kurumlarına açığı 12 Kasım’a kadar kapatmalarını söylüyor.

Açığın işleyişi

GPUStack’in danışma notuna göre 2.2.0 öncesi sürümlerde, isteği yapan kullanıcıyı belirleyen get_current_user işlevi, force_auth_localhost ayarı kapalıyken, yani varsayılan durumda, yerel adresten (loopback) geldiği kabul edilen her isteği yerleşik yönetici hesabı olarak işliyor. Danışma notuna göre bir isteğin yerel adresten geldiği iki yolla, hiçbir kimlik bilgisi olmadan sağlanabiliyor:

• Aynı sunucudaki ters vekil sunucu: GPUStack, aynı sunucuda çalışan ve istekleri 127.0.0.1 adresine ileten bir ters vekil sunucunun (reverse proxy) arkasında çalıştırıldığında, dışarıdan gelen her istek GPUStack’e 127.0.0.1’den gelmiş gibi ulaşıyor. Bu durumda başlık ya da kimlik bilgisi gerekmeden her istek yönetici yetkisi alıyor. Danışma notu bunu kendi sunucusunda çalıştırılan kurulumların standart biçimi olarak tanımlıyor.
• Sahte başlık: İsteğe eklenen X-GPUStack-Real-IP: 127.0.0.1 başlığı da isteğin yerel adresten geldiği kabul edilmesine yol açabiliyor.

Danışma notuna göre iki yol da ağ üzerinden, giriş yapmadan tam yönetici yetkisi veriyor. Saldırgan kullanıcıları, modelleri, çalışan sunucuları (worker) ve yapılandırmayı listeleyip değiştirebiliyor, her adresten kullanılabilen kalıcı yönetici API anahtarları oluşturabiliyor, çalışan sunucuların kimlik bilgilerini ve bulut ya da model sağlayıcılarının gizli bilgilerini okuyabiliyor. Bu yetki, yalnızca yöneticilere açık olan POST /v2/inference-backends/from-yaml gibi işlevlerle birleştiğinde çalışan sunucularda kod çalıştırmaya varıyor. Açığın CVSS 3.1 puanı 9.8.

Saldırılarda kullanım

Danışma notuna göre açık, 2.1.1 sürümünü çalıştıran bir kurulumda saldırganın oluşturduğu ve ters kabuk (reverse shell) açan özel arka uçlarla (custom backend) istismar edildi. Danışma notu istismarı bildiren kişiyi ulex.fr’den Javier Sixto olarak gösteriyor. Saldırıların ne zaman başladığı ve kimin tarafından yapıldığı açıklanmadı. Açığı birbirinden bağımsız olarak Nikko Enggaliano, Wei Yunzhou ve Johns Hopkins Üniversitesi’nden Rui Yang ile Haoyu Wang bildirdi.

Etkilenen ve düzeltilmiş sürümler

• Etkilenen sürümler: 2.2.0 öncesi bütün sürümler.
• Düzeltilmiş sürüm: 2.2.0. GitHub’daki sürüm sayfasına göre 2.2.0 18 Haziran’da yayımlandı. Danışma notu 31 Temmuz’da, açığın CVE kaydı ise Türkiye saatiyle 5 Kasım’da yayımlandı.

Danışma notuna göre düzeltme yerel adrese dayanan otomatik yönetici yetkisini kaldırıyor ve istemci IP adresini belirleyen başlıkların işlenmesini sıkılaştırıyor.

Önerilen önlemler

GPUStack bütün kullanıcılara 2.2.0 ya da daha yeni bir sürüme geçmeyi öneriyor. Hemen güncellenemeyen kurulumlar için danışma notundaki geçici önlemler şunlar:

• force_auth_localhost ayarını true yaparak yerel adresten gelen istekler için de kimlik doğrulamayı zorunlu tutun.
• Ters vekil sunucunun ya da ağ geçidinin dışarıdan gelen trafiği yerel adresten geliyormuş gibi göstermediğinden emin olun ve istemcilerin gönderdiği X-GPUStack-Real-IP başlığını ağ ucunda silin.
• GPUStack’in API’sini güvenilmeyen ağlara açmayın, erişimi VPN ya da ağ ucunda kimlik doğrulamayla sınırlandırın.

Açık saldırılarda kullanıldığı için 2.2.0 öncesi bir sürümle internete açık çalışan kurulumlarda yönetici hesaplarının, API anahtarlarının ve özel arka uçların da kontrol edilmesi gerekiyor.