目次（5）
CVE-2026-103002
GPU クラスターの管理ソフト GPUStack（AI モデルの提供用）で、CVE-2026-103002 が 2026-11-04 に NVD に登録されました。登録元は GitHub で、NVD の状態は Received（受付済み）です。影響するのは 2.2.0 から 2.2.2 の手前までで、2.2.2 で修正されています。
何が起きるか
GPUStack には、選んだ Kubernetes クラスターの API サーバーへ要求を中継する機能（cluster_apiserver_proxy）があります。NVD の記述によると、この中継は、管理者ではないログイン済みの利用者の要求を、リソース単位の権限確認をせずにそのまま転送します。転送には、つながるワーカーの Kubernetes ServiceAccount（クラスター内の機械用アカウント）の資格情報が使われます。
そのため一般の利用者が、ServiceAccount に許された範囲で次の操作をできる恐れがあります。
- 機密性のあるリソース（Secret など）の読み取り
- ワークロード（Pod など）の作成・変更
- リソースの削除
攻撃者が自分のワークロードを作れる場合は、対象クラスターの中でコード実行に至る恐れがある、とも記載されています。
攻撃できる条件
- Kubernetes プロバイダーのクラスターで、つながるワーカーが 1 台以上あること。
- GPUStack にログインできる（管理者でなくてよい）アカウントを持っていること。
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-103002 |
| 弱点 | CWE-639（利用者が制御する鍵による認可回避）、CWE-862（認可の欠落）。登録元の分類 |
| 点数（GitHub 評価 CVSS v3.1） | 8.8（ネットワーク・攻撃条件 低・必要な権限 低・利用者の関与なし・機密性・完全性・可用性とも 高） |
| 影響する版 | GPUStack 2.2.0 から 2.2.2 の手前まで |
| 修正版 | GPUStack 2.2.2 |
評価
- 認証が必要（PR:L）で点数も 8.8 のため、基準では severity は high です。ただし、機密情報の読み取りからクラスター内のコード実行まで進める可能性があり、Kubernetes を使う環境では影響が大きくなります。
- FIRST の EPSS は 0.0036（2026-11-05 時点。低い水準）です。CISA の KEV には掲載されていません（2026-11-06 に一覧を検索）。実際の攻撃での悪用は、本稿では確認できていません。
- 同じ GPUStack では、11/4 に別の 2 件（CVE-2026-102894・102895。認証の回避）も登録され、102895 は悪用が観測されたと記載されています。本件とは別の問題で、修正版の番号は 102895 が 2.2.0、102894 と本件が 2.2.2 です。
対策として考えられること
- GPUStack を 2.2.2 以降に更新します。
- すぐに更新できないときは、Kubernetes プロバイダーのクラスターを GPUStack に登録している環境で、管理者以外のアカウントを必要最小限にし、使われていないアカウントを無効にします。
- GPUStack が使うワーカーの ServiceAccount の権限を見直し、Secret の読み取りやワークロードの作成・削除など、必要のない権限を外します。
- クラスターの監査ログで、GPUStack のワーカーの ServiceAccount による想定外の読み取り・作成・削除がないかを確認します。疑わしいものがあれば、そのクラスターの Secret の入れ替えも検討します。
未確認の点
- 実際の攻撃での悪用の有無。
- GitHub の勧告（GHSA-3hch-x692-6qj3）、修正のコミット、v2.2.2 のリリースの中身（本稿では NVD の記述のみ読みました）。
- 2.2.0 より前の版が影響しない根拠と、Kubernetes プロバイダー以外の構成の扱い。
- NVD の最終評価（現在は Received で、変わる可能性があります）。
この記事について
- 執筆・編集
- World Security 編集部
- AI の利用
- 本記事は AI が NVD などの公開情報をもとに作成しました。数値は取得時点（2026-11-06）のもので、未確認の点は本文に明記しています。
