Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-294
  • CWE-347

CVE-2026-102894

GPUStack SAML geri çağırma uç noktasında kimlik doğrulama atlatma ve hesap ele geçirme

gpustack

Kritik 9,1 CVSS 3.1
Yayımlandı
Güncellendi
5 Kas 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açıklık, sistemin yönetici hesaplarına dışarıdan kimliği taklit edilerek erişilmesine izin verebilir ve bu da veri ve kaynak kontrolünün tamamen kaybedilmesi anlamına gelebilir. Kritik seviyede olduğu için en kısa sürede güncelleme yapılması gerekmektedir.

ÖzetTürkçe

GPUStack, yapay zekâ modeli sunumu ve GPU örneği sağlama için kullanılan açık kaynaklı bir GPU küme yöneticisidir. 0.7.1 ile 2.2.2 arasındaki sürümlerde /auth/saml/callback uç noktası, SAML yanıtının imzasını, düzenleyicisini, hedef kitlesini, hedef adresini ve zaman koşullarını doğrulamadan kullanıcı kimliğini kabul etmektedir. Bu durum, SAML yapılandırılmamış kurulumları da etkilemektedir.

Saldırgan ne yapabilir?

Saldırgan, ağa erişimi olan herhangi bir istemci üzerinden mevcut bir yöneticinin de dahil olduğu kullanıcının kimliğine bürünerek oturum açabilir ve yetkili bir hesabı ele geçirebilir. Ayrıca yakalanmış imzalı SAML yanıtlarını yeniden kullanarak (tekrar oynatma) erişim elde edebilir.

Kaynaktaki açıklama (İngilizce)

GPUStack is an open-source GPU cluster manager for AI model serving and GPU instance provisioning. From 0.7.1 until 2.2.2, the /auth/saml/callback endpoint decoded SAML XML, used its NameID and attributes to resolve or provision a user, and minted a gpustack_session JWT without calling OneLogin_Saml2_Auth.process_response to verify the signature, issuer, audience, destination, or time conditions. Any network client could submit an identity for an existing user, including an administrator, or provision a new non-administrator account, even when SAML was not configured. Response and Assertion identifiers were not consumed, so captured signed responses could also be replayed. This issue is fixed in version 2.2.2.

Ne yapmalı?

  1. GPUStack'i 2.2.2 veya üzeri bir sürüme güncelleyin. Genel öneri
  2. Güncellemeden önce, sistemin dışarıdan erişilebilir olup olmadığını kontrol edin ve mümkünse /auth/saml/callback uç noktasına erişimi ağ seviyesinde kısıtlayın. Genel öneri
  3. Yönetici hesaplarında beklenmedik oturum açmaları, yeni oluşturulmuş kullanıcılar veya yetki değişiklikleri için kayıtları inceleyin. Genel öneri
  4. Güncellemeden sonra, şüpheli oturumları sonlandırın ve yönetici parolalarını ile oturum anahtarlarını yenileyin. Genel öneri

Ek önlemler

  • SAML entegrasyonu kullanılmıyorsa ilgili özelliği devre dışı bırakmayı ve gereksiz uç noktalara erişimi kısıtlamayı değerlendirin. Genel öneri
  • Yönetim arayüzünü yalnızca güvenilen ağlardan veya VPN üzerinden erişilebilir tutun. Genel öneri
  • Kimlik sağlayıcı ve uygulama kayıtlarını düzenli olarak izleyin, olağandışı giriş denemelerine karşı uyarı kuralları oluşturun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
gpustack Sürüm belirtilmemiş –

Kaynaklar8 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.