Yapay zekâ modellerini kendi sunucularında çalıştıran şirketler ve araştırma ekipleri için acil bir güncelleme uyarısı var. GPU kümelerini yönetmek ve dil modellerini hizmete sunmak için kullanılan açık kaynak yazılım GPUStack’te bulunan kritik bir güvenlik açığı, gerçek saldırılarda istismar edildi. CVE-2026-102895 koduyla izlenen açık, CVSS ölçeğinde 10 üzerinden 9.8 puanla “kritik” seviyede derecelendirildi ve 2.2.0 öncesindeki tüm sürümleri etkiliyor.
Açığın ciddiyeti, sağladığı erişimden kaynaklanıyor: Saldırgan herhangi bir parola ya da anahtar bilmeden, internet üzerinden GPUStack’in yerleşik yönetici hesabı gibi davranabiliyor. Araştırmacılar, 2.1.1 sürümünü çalıştıran bir kurulumun bu yolla başarıyla hedef alındığını doğruladı; yani tehdit kuramsal değil.
GPUStack nedir, kimler kullanıyor?
GPUStack, birden fazla bilgisayardaki ekran kartlarını tek bir küme gibi yönetmeye ve bu kümede açık ağırlıklı dil modellerini, görüntü ve ses modellerini çalıştırmaya yarayan bir platform. Kurumlar, verilerini dış bulut hizmetlerine göndermeden kendi modellerini çalıştırmak için bu tür araçlara giderek daha fazla yöneliyor. Platform; kullanıcı hesaplarını, model yapılandırmalarını, API anahtarlarını ve kümedeki işçi makinelerin kimlik bilgilerini tek bir merkezden yönetiyor. Bu nedenle yönetici yetkisi, aslında kümenin tamamının anahtarı anlamına geliyor.
Açık nasıl çalışıyor?
Sorunun kökü, GPUStack’in kimlik doğrulama modülündeki bir mantık hatası. O anki kullanıcıyı belirleyen işlev, yerel döngü adresinden, yani sunucunun kendisinden geliyormuş gibi görünen istekleri doğrudan yerleşik yönetici hesabına ait sayıyordu. Bu davranış, force_auth_localhost adlı yapılandırma seçeneği kapalıyken devreye giriyordu ve etkilenen sürümlerde bu seçenek varsayılan olarak kapalıydı.
Tek başına bu durum, yalnızca sunucunun içinden gelen isteklere güvenmek gibi görünebilir. Ancak yazılım, isteğin kaynağını belirlerken iki zayıf noktaya sahipti. Birincisi, aynı makinedeki ters vekil sunuculardan (reverse proxy) gelen eş adreslerini kabul ediyordu. İkincisi ve daha tehlikelisi, istemcinin kendisinin gönderebildiği X-GPUStack-Real-IP adlı bir başlığa güveniyordu. Saldırgan bu başlığa yerel döngü adresini yazdığında, sistem isteğin sunucunun içinden geldiğine inanıyor ve yönetici yetkisini veriyordu. Böylece internetin herhangi bir yerinden, tek bir sahte başlıkla kimlik doğrulama tamamen atlatılabiliyordu.
Saldırgan neler yapabiliyor?
Kimlik doğrulama atlatıldığında saldırgan kümede kimliği doğrulanmamış bir yönetici olarak hareket edebiliyor. Bu erişimle:
- Kullanıcı hesaplarını ve model yapılandırmalarını değiştirebiliyor,
- Kalıcı yönetici API anahtarları oluşturarak açık kapatılsa bile erişimini sürdürebiliyor,
- İşçi makinelerin kimlik bilgilerini ve bulut sağlayıcı sırlarını ele geçirebiliyor,
- Çıkarım arka uçlarını yöneten uç nokta üzerinden sunucuda istediği kodu çalıştırabiliyor.
Son madde, saldırının yalnızca bir yönetim panelini ele geçirmekle sınırlı kalmadığını, ana bilgisayarın tamamen kontrol edilebildiğini gösteriyor. Güçlü ekran kartlarına sahip sunucuların, kripto para madenciliğinden çalıntı model erişiminin satılmasına kadar pek çok kötüye kullanım için cazip hedefler olduğu düşünüldüğünde, risk daha da büyüyor.
Çözüm: 2.2.0 sürümü
Geliştiriciler açığı GPUStack 2.2.0 sürümüyle kapattı. Yeni sürüm, yerel adres taklidine izin veren mantık hatalarını düzeltiyor. ABD Ulusal Güvenlik Açığı Veritabanı (NVD) kaydı da düzeltmenin 2.2.0’da yer aldığını doğruluyor. Eski sürümler için resmî bir yama ya da geçici çözüm bulunmuyor; bu nedenle tek güvenli yol güncelleme.
Güvenlik ekipleri için önerilen adımlar şöyle sıralanıyor:
- Kullanılan GPUStack sürümünü kontrol edin ve 2.2.0 ya da üzerine yükseltin.
- Güncellemeden önceki döneme ait kayıtlarda yetkisiz yönetici işlemlerini, yeni oluşturulan API anahtarlarını ve kullanıcı hesaplarını arayın.
- Web sunucusu kayıtlarında, özellikle yerel adres değeri taşıyan X-GPUStack-Real-IP başlıklı istekleri inceleyin.
- Açığın bulunduğu süre boyunca erişilebilir olan bulut sırlarını, işçi kimlik bilgilerini ve API anahtarlarını yenileyin.
- Yönetim arayüzünü internete açık bırakmayın; erişimi güvenlik duvarıyla yalnızca güvenilir iç ağlarla sınırlayın.
- Ters vekil sunucu ayarlarının istemci adresine ilişkin başlıkları dışarıdan değiştirilebilir bırakmadığından emin olun.
Kendi yapay zekâ altyapısını kuranlar için ders
Son aylarda yapay zekâ altyapısını yöneten araçlarda benzer kimlik doğrulama hataları sık sık gündeme geliyor. Bu araçların çoğu hızla geliştiriliyor ve ilk başta yalnızca güvenilir bir iç ağda kullanılacağı varsayımıyla tasarlanıyor. GPUStack örneği, “sunucunun içinden gelen isteğe güven” gibi masum görünen bir kolaylığın, istemcinin kendi gönderdiği bir başlıkla birleştiğinde kritik bir açığa dönüşebileceğini gösteriyor.
Kendi modellerini çalıştıran kurumların, bu yazılımları da diğer kritik sunucular gibi ele alması, varsayılan ayarları gözden geçirmesi ve güncellemeleri gecikmeden uygulaması gerekiyor. Aksi halde verileri dış bulutlara göndermemek için kurulan sistemler, saldırganlar için doğrudan bir giriş kapısına dönüşebilir.
Kaynak: GPUStack sürüm notları, ABD Ulusal Güvenlik Açığı Veritabanı (NVD) kaydı
