要点
- AI のモデルを動かす基盤 GPUStack に、パスワードなしで他人のアカウントに入れてしまう重大な欠陥が公表された。
- SAML（社内ログインをまとめる仕組み）を使っていなくても、advisory によると全ての導入環境が対象になる。
- 悪用の報告は、advisory には書かれていない。修正版は 2.2.2 だ。
何が起きたか
GPUStack の開発側は、GitHub の advisory（脆弱性の公式な告知）で欠陥を公表した。番号は CVE-2026-102894。深刻度は 10 点満点で 9.1 の「重大」だ。
advisory によると、GPUStack のログイン戻り口（SAML callback）は、届いた返事の署名の確認をしていなかった。返事の中身を読み、名前の欄を信じてそのままログインさせる。つまり、偽の返事でも通ってしまう。
その結果、ネットワークから戻り口に届く人は、誰でも任意のユーザーとしてログインできる。名前が既存のユーザー、たとえば管理者なら、その人の権限が手に入る。存在しない名前なら、一般ユーザーが新しく作られる。
さらに、使い終えた返事を無効にする処理もない。一度盗まれた本物の返事は、あとから何度でも使い回せるとされる。
advisory は、SAML を設定していなくても影響する、と明記している。「うちは SAML を使っていないから大丈夫」とは言えない。
報告したのは、カリフォルニア大学バークレー校のセキュリティ研究プロジェクトの 3 人と、匿名の研究者だ。確認用のコード（PoC）は、メンテナーに非公開で提供されているとされる。
なお、GPUStack には別の認証回避の欠陥（CVE-2026-102895）もあり、こちらは悪用されたと報じられている。今回の件とは別である。両方とも直すため、2.2.2 以上にそろえたい。
日本の利用者への影響
この記事の調査の範囲では、日本での利用状況や、日本の組織への影響の報告は見つからなかった。GPUStack は自社で AI モデルを動かすための道具だ。使っているなら、GPU を持つ社内サーバーや研究環境が対象になる。
今すぐやること
- GPUStack を使っているか、社内や研究室の AI 基盤の担当者に確かめる。
- 使っているなら、版を確認し、修正版の 2.2.2 以上に上げる。
- すぐ上げられない場合は、問題の戻り口へのアクセスを、入口の中継サーバーで遮断する。開発側が勧める暫定策だ。
- 画面を外部のネットワークに公開していないか見直す。公開は必要最小限にする。
- 管理者の操作や、見覚えのない新規ユーザーがないか、ログを確かめる。
背景
advisory によると、今回の戻り口は、返事の署名や発行者などを確かめるライブラリの処理を呼ばないまま、返事の中身だけを読んでいた。
今回の修正では、確認を必ず通すようにした。あわせて、SAML や OIDC のログイン経路は、その方式を実際に設定したときだけ動くようにした。
AI 基盤は、高価な GPU と、社内のモデルやデータが集まる場所だ。乗っ取られると影響が大きい。ただし今回は、悪用が確かめられていない段階だ。
技術者向けの詳細
- CVE-2026-102894 / GHSA-62m9-f875-rqw6。CVSS v3.1 は 9.1（AV:N/AC:L/PR:N/UI:N）。
- 影響を受ける版: 0.7.1 以上 2.2.2 未満。修正版: 2.2.2。
- 対象の経路:
/auth/saml/callback。応答の検証（署名・発行者・宛先・有効期限）を呼ばず、セッションの JWT を発行する。 - 応答と assertion の ID を使い切りにしないため、再送が可能とされる。
- 修正（PR #5753・#5923）は、ライブラリの検証関数を通し、失敗なら拒否する。有効な方式の経路だけ動かす。
- 設定での回避策はなく、暫定策は上記経路の遮断のみ。
- 版の確認の例:
pip show gpustack - 別件の CVE-2026-102895 は、2.2.0 でループバックの自動管理者ルールを外したと報じられている。本記事では一次情報を確認していない。
