Dans GPUStack 2.2.0 à 2.2.1, un utilisateur authentifié non administrateur pouvait utiliser le proxy vers un cluster Kubernetes sans vérification d’autorisation au niveau des ressources. Selon les permissions du ServiceAccount du worker, cela pouvait exposer ou modifier des ressources, voire permettre l’exécution de code via des workloads contrôlés par l’attaquant.
Source : NVD — CVE-2026-103002
Analyse technique
Le proxy utilisait les identifiants du ServiceAccount Kubernetes d’un worker joignable sans contrôler l’autorisation sur la ressource ciblée.
Impact, versions et correctif
Détection / vérification
Vérifier l’utilisation de cluster_apiserver_proxy et les droits du ServiceAccount des workers sur les clusters Kubernetes concernés.
Action recommandée
Mettre à niveau GPUStack vers la version 2.2.2 ou ultérieure et examiner les droits des ServiceAccounts concernés.
Sources
Priorisation DFS : P3 · 1 source(s).