Vulnerabilità · 18 ore fa

Un falso localhost apre l’infrastruttura AI gestita da GPUStack

SANS ha osservato tentativi in corso di aggirare l’autenticazione di GPUStack, vulnerabile in tutte le versioni precedenti alla 2.2.0. La falla, CVE-2026-102895, riguarda un gestore che controlla cluster GPU usati per i carichi di lavoro AI.

GPUStack si fida di un header che dovrebbe indicare da quale indirizzo arriva la richiesta. Basta falsificarlo come «localhost» perché il servizio consideri il chiamante interno e salti l’autenticazione. Un manager esposto può così dare a estranei accesso alle istanze GPU e all’ambiente di serving che controlla.

SANS ha inoltre osservato lo stesso indirizzo IP sondare endpoint di altri servizi AI: un contesto d’indagine più ampio, non la prova che quei servizi siano stati compromessi. Lo stesso rischio riguarda ogni applicazione che usa header di inoltro forniti dal client per decidere chi è attendibile: un mittente esterno può fingersi interno.

CVE-2026-102895

NVD KEV

Sfruttamento noto · CISA KEV

CVSS 9.8 CRITICAL: gPUStack is an open-source GPU cluster manager for AI model serving and GPU instance provisioning. EPSS 0.5% (44º percentile).

Data di correzione federale CISA 12 nov

Cronologia

12 nov Segnalato da SANS ISC
9 nov CVE-2026-102895 aggiunto al KEV CISA

Fonti

1 fonte che coprono questa storia

SANS ISC 12 nov
Exploit Attempts for GPUStack Authentication Bypass (CVE-2026-102895)
Exploit Attempts for GPUStack Authentication Bypass (CVE-2026-102895), Author: Johannes Ullrich

Entità

CVE-2026-102895

Part of the PlainSec briefing for 2026-11-13

Editions

Storie correlate

Vulnerabilità · 18 ore faUn falso localhost apre l’infrastruttura AI gestita da GPUStackSANS ha osservato tentativi in corso di aggirare l’autenticazione di GPUStack, vulnerabile in tutte le versioni precedenti alla 2.2.0. La falla, CVE-2026-102895, riguarda un gestore che controlla cluster GPU usati per i carichi di lavoro AI.GPUStack si fida di un header che dovrebbe indicare da quale indirizzo arriva la richiesta. Basta falsificarlo come «localhost» perché il servizio consideri il chiamante interno e salti l’autenticazione. Un manager esposto può così dare a estranei accesso alle istanze GPU e all’ambiente di serving che controlla.SANS ha inoltre osservato lo stesso indirizzo IP sondare endpoint di altri servizi AI: un contesto d’indagine più ampio, non la prova che quei servizi siano stati compromessi. Lo stesso rischio riguarda ogni applicazione che usa header di inoltro forniti dal client per decidere chi è attendibile: un mittente esterno può fingersi interno.