แจ้งเตือนช่องโหว่ความปลอดภัยระดับวิกฤตใน GPUStack (CVE-2026-102895)
CISA KEV: GPUStack Improper Authentication Vulnerability in GPUStack GPUStack (CVE-2026-102895)
ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2026-102895 ในระบบ GPUStack ซึ่งมีคะแนนความรุนแรงตามมาตรฐาน CVSS อยู่ที่ 9.8 ช่องโหว่นี้เกิดจากข้อผิดพลาดในการตรวจสอบสิทธิ์ (Improper Authentication) ทำให้ผู้โจมตีภายนอกสามารถเข้าถึงระบบด้วยสิทธิ์ผู้ดูแลระบบ (Administrator) ได้โดยไม่ต้องยืนยันตัวตน และอาจนำไปสู่การรันคำสั่งจากระยะไกล (Remote Code Execution) ได้ ปัจจุบันพบรายงานการโจมตีจริงในธรรมชาติแล้ว
รายละเอียดทางเทคนิคของช่องโหว่ (CVE-2026-102895)
GPUStack ซึ่งเป็นระบบจัดการคลัสเตอร์ GPU แบบโอเพนซอร์สสำหรับการให้บริการโมเดล AI และการจัดเตรียมอินสแตนซ์ GPU (ในเวอร์ชันก่อนหน้า 2.2.0) มีข้อบกพร่องในฟังก์ชัน get_current_user ภายในไฟล์ gpustack/api/auth.py
สาเหตุหลักเกิดจากการที่ระบบปฏิบัติกับคำขอจาก loopback เป็นผู้ดูแลระบบในตัว (built-in administrator) เมื่อค่า force_auth_localhost ถูกตั้งค่าเป็นเท็จ (ซึ่งเป็นค่าเริ่มต้น) นอกจากนี้ ฟังก์ชัน client_ip_getter ยังยอมรับ Reverse Proxy peer บนโฮสต์เดียวกัน หรือค่า IP วนลูป X-GPUStack-Real-IP ที่ส่งมาจากลูกค้า ทำให้คำขอจากภายนอกสามารถปลอมแปลงแหล่งที่มาให้เสมือนมาจาก 127.0.0.1 ได้
ผลกระทบและความเสียหาย
- การเข้าถึงโดยไม่ได้รับอนุญาต: ผู้โจมตีสามารถเข้าถึงระบบในระดับผู้ดูแลระบบ (Administrator) ได้อย่างสมบูรณ์
- การจัดการทรัพยากร: สามารถเปลี่ยนแปลงข้อมูลผู้ใช้และโมเดล รวมถึงสร้าง API-key ของผู้ดูแลระบบแบบถาวรได้
- การรั่วไหลของข้อมูลความลับ: เปิดเผยข้อมูลความลับของ Worker และผู้ให้บริการคลาวด์ (Cloud-provider secrets)
- การรันคำสั่งอันตราย (RCE): สามารถรันโค้ดหรือคำสั่งผ่านช่องทาง
POST /v2/inference-backends/from-yamlได้
หมายเหตุ: มีรายงานการตรวจพบการแสวงหาประโยชน์จากช่องโหว่นี้ในธรรมชาติ (Exploited in the wild) แล้วกับระบบที่ใช้งานเวอร์ชัน 2.1.1
แนวทางการปฏิบัติและบรรเทาผลกระทบ
- อัปเดตระบบ: ดำเนินการอัปเดต GPUStack ไปยังเวอร์ชัน 2.2.0 หรือเวอร์ชันที่ใหม่กว่าทันที เพื่อแก้ไขข้อบกพร่องดังกล่าว
- ตรวจสอบการเข้าถึงเครือข่าย: ประเมินและจำกัดการเข้าถึงระบบผ่านอินเทอร์เน็ตสาธารณะ (Internet Exposure) โดยไม่จำเป็น หากระบบยังไม่สามารถอัปเดตได้ทันที ควรจำกัดการเข้าถึงผ่านระบบ Network Segmentation หรือ Firewall (เช่น IP Whitelisting)
- การตรวจสอบความปลอดภัย (Forensics Triage): ตรวจสอบ Log ของระบบเพื่อค้นหาความผิดปกติ เช่น การสร้าง API-key ที่ไม่ได้รับอนุญาต การเรียกใช้งาน endpoint
POST /v2/inference-backends/from-yamlหรือการเข้าถึงจาก IP ที่น่าสงสัย - ปฏิบัติตามคำแนะนำของหน่วยงานกำกับดูแล: ดำเนินการตามมาตรการบรรเทาผลกระทบที่สอดคล้องกับแนวทางของ CISA หรือข้อกำหนดการอัปเดตความปลอดภัยตามความเสี่ยง