Nhóm tấn công khai thác lỗ hổng trong GPUStack, tạo ra yêu cầu giả mạo

GPUStack GPUStack — Vulnerability GPUStack Xác thực Không Đúng. Đưa vào KEV ngày 2026-11-09, hạn khắc phục với cơ quan liên bang Mỹ: 2026-11-12. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 Prioritizing Security Updates Based on Risk (xem URL trong Ghi chú) và CISA “Forensics Triage Requirements” (xem URL trong Ghi chú). Theo hướng dẫn BOD 26-04 cho dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không có sẵn. Các bên liên quan có trách nhiệm đánh giá mỗi tài sản về sự phơi bày internet và đảm bảo tuân thủ hướng dẫn BOD 26-04 về việc cập nhật.

GPUStack: Bypass xác thực thông qua nguồn vòng lại (reverse-proxy TCP peer hoặc header X-GPUStack-Real-IP) cấp quyền truy cập quản trị không xác thực

GPUStack là một quản lý tập hợp GPU nguồn mở cho việc phục vụ mô hình AI và phân bổ instance GPU. Trước phiên bản 2.2.0, hàm get_current_user trong gpustack/api/auth.py coi nguồn yêu cầu vòng lại (loopback) là quản trị viên mặc định khi force_auth_localhost là false. Do đó, một yêu cầu từ xa có thể xuất hiện như xuất phát từ 127.0.0.1 vì client_ip_getter chấp nhận một peer vòng lại (reverse proxy) cùng máy chủ hoặ…