Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-639
  • CWE-862

CVE-2026-103002

GPUStack: Kaynak düzeyinde yetki kontrolü eksikliği, küme erişimi ve ele geçirme riski

gpustack

Yüksek 8,8 CVSS 3.1
Yayımlandı
Güncellendi
5 Kas 2026
Açık yaşı
1 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, sisteme giriş yapmış sıradan kullanıcıların yetkisiz şekilde kritik altyapıya erişmesine ve kümeyi ele geçirmesine olanak tanıyabilir. Etkilenen kurulumlarda veri sızıntısı, hizmet kesintisi ve tam sistem kontrolü riski vardır. Kullanılan sürüm hemen kontrol edilmeli ve güncelleme öncelikli olarak yapılmalıdır.

ÖzetTürkçe

GPUStack, yapay zeka modeli sunumu ve GPU örneği sağlama için kullanılan açık kaynaklı bir GPU küme yöneticisidir. 2.2.0 ile 2.2.2 arasındaki sürümlerde cluster_apiserver_proxy bileşeni, kimliği doğrulanmış yönetici olmayan kullanıcıların isteklerini kaynak düzeyinde yetki kontrolü yapmadan Kubernetes kümesine iletmektedir. Proxy, erişilebilir bir çalışan düğümün Kubernetes ServiceAccount kimlik bilgilerini kullandığı için bu sorun Kubernetes sağlayıcısıyla çalışan ve erişilebilir bir çalışan düğümü olan kurulumları etkilemektedir.

Saldırgan ne yapabilir?

Saldırgan, ServiceAccount'un yetkileri ölçüsünde hassas kaynakları okuyabilir, iş yüklerini oluşturup değiştirebilir veya kaynakları silebilir. Saldırgan kontrolündeki iş yükleri hedef kümede kod çalıştırılmasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

GPUStack is an open-source GPU cluster manager for AI model serving and GPU instance provisioning. From 2.2.0 until 2.2.2, cluster_apiserver_proxy forwarded an authenticated non-administrator's requests to a selected Kubernetes cluster without a resource-level authorization check. The proxy used a reachable worker's Kubernetes ServiceAccount credentials, so the caller could read sensitive resources, create or modify workloads, or delete resources according to that ServiceAccount's permissions. Exploitation required a Kubernetes-provider cluster with a reachable worker, and attacker-controlled workloads could result in code execution in the target cluster. This issue is fixed in version 2.2.2.

Ne yapmalı?

  1. GPUStack'i 2.2.2 veya daha yeni bir sürüme yükseltin. Genel öneri
  2. Güncellemeyi uyguladıktan sonra Kubernetes kümesindeki ServiceAccount izinlerini en az yetki ilkesine göre gözden geçirin ve gereksiz yetkileri kaldırın. Genel öneri
  3. Güncelleme yapılana kadar yönetici olmayan kullanıcıların küme erişimini geçici olarak kısıtlayın ve kümeye bağlı çalışan düğümlerin ağ erişimini sınırlandırın. Genel öneri

Ek önlemler

  • Kubernetes ServiceAccount'larına yalnızca ihtiyaç duydukları minimum yetkileri verin ve varsayılan hesapların geniş yetkilerini kaldırın. Genel öneri
  • Kümedeki beklenmeyen iş yüklerini, yeni oluşturulan kaynakları ve silme işlemlerini denetim kayıtlarıyla izleyin. Genel öneri
  • Yönetici olmayan kullanıcıların gerçekten gerekli kümelere erişmesini sağlayacak şekilde erişim kontrollerini düzenli olarak gözden geçirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
gpustack Sürüm belirtilmemiş –

Kaynaklar8 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.