GPUStack
GPUStack: autenticazione aggirabile, già sfruttata
Il problema, secondo i dati ufficiali
- GPUStack ha una vulnerabilità classificata come «autenticazione aggirabile» (CWE-287).
- Secondo la valutazione ufficiale (CVSS) si sfrutta via rete (quindi anche da internet, se il servizio è esposto), senza bisogno di un account.
- Impatto dichiarato: lettura di dati riservati (impatto alto), modifica di dati o del sistema (impatto alto), blocco del servizio (impatto alto).
- È già usata in attacchi reali: la CISA l'ha inserita nel catalogo delle vulnerabilità sfruttate il 09/11/2026.
- Secondo la CISA l'attacco si può automatizzare.
Cosa fare
- Aggiorna gpustack alla versione 2.2.0 o successiva.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
- Se è stato esposto, controlla anche che nessuno sia già entrato: utenti nuovi, file modificati, accessi strani nei log.
Versioni interessate
- gpustack: prima della 2.2.0
Fonti ufficiali
- nvd.nist.gov — avviso del produttore
- github.com — riferimento
- github.com — riferimento
- github.com — riferimento
- github.com — riferimento
Descrizione ufficiale (in inglese)
GPUStack is an open-source GPU cluster manager for AI model serving and GPU instance provisioning. Prior to 2.2.0, get_current_user in gpustack/api/auth.py treated a loopback request source as the built-in administrator when force_auth_localhost was false, which was the default. A remote request could appear to originate from 127.0.0.1 because client_ip_getter accepted a same-host reverse proxy peer or a client-supplied X-GPUStack-Real-IP loopback value. The bypass allowed unauthenticated administrative access, including user and model changes, persistent administrator API-key creation, disclosure of worker and cloud-provider secrets, and code execution through POST /v2/inference-backends/from-yaml. Exploitation was observed in the wild against a 2.1.1 deployment. This issue is fixed in version 2.2.0.
Non sai se ti riguarda?
Se usi GPUStack e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Scheda compilata in automatico dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.