GitLab ја поправа критичната ранливост 9.9 во AI Gateway, која овозможува извршување команди на самохостирани сервери

Критична ранливост во GitLab AI Gateway би можела да му овозможи на најавен корисник со пристап до Duo Agent Platform да извршува команди на gateway-серверот под одредени услови, соопшти GitLab во своето безбедносно известување.

Gateway е сервисот што ја поврзува GitLab инстанцата со AI моделите, а мерки треба да преземат само организациите кои користат сопствен gateway. Ранливоста е отстранета во верзиите на gateway 19.2.4, 19.3.2 и 19.4.1.

Ранливоста е заведена како CVE-2026-90970. GitLab ја објави на 2 октомври и ја оцени како критична, со CVSS оценка од 9.9 од 10.

GitLab управува со AI Gateway сервисите за своите корисници и веќе ги има ажурирано. Корисниците на GitLab.com, GitLab Dedicated, како и оние со self-managed инстанци кои користат gateway хостиран од GitLab, не треба да преземаат никакви мерки, соопшти компанијата.

Корисниците со self-managed инстанци, наместо тоа, можат да хостираат сопствен gateway, што е опција што GitLab ја нуди за задржување на податоците од AI барањата и одговорите во сопствената околина на корисникот. GitLab силно им препорачува на овие корисници веднаш да го ажурираат gateway-от. Компанијата го испратила ова предупредување до корисниците со self-hosted gateway-и уште пред објавувањето на безбедносното известување.

Во известувањето не се наведува дали ранливоста била искористена во реални напади. Американската Агенција за сајбер-безбедност и инфраструктурна безбедност (CISA) на 2 октомври додаде проценка во CVE записот во која експлоатацијата е наведена како „none“ (нема). Другите две вредности што ги следи CISA се однесуваат на постоење јавно достапен proof-of-concept и активна експлоатација.

Засегнати и поправени верзии

Верзиите наведени подолу се верзии на AI Gateway. Gateway се инсталира како посебна Docker image или Helm chart и има свои постапки за ажурирање.

Верзија на Gateway што се користи	Прва поправена верзија
18.1.6 or later, before 19.2.4	19.2.4
19.3, before 19.3.2	19.3.2
19.4, before 19.4.1	19.4.1

За да ажурирате Docker deployment, потребно е да го запрете и отстраните активниот контејнер, а потоа да ја преземете и стартувате новата image ознака, на пример self-hosted-v19.4.1-ee. Кај Helm deployments, потребно е да ја поставите новата ознака во поставката за image во chart-от.

Не е наведена поправена верзија под 19.2.4. Тоа значи дека сите Gateway изданија од 18.1.6 до линијата 19.1 остануваат во опсегот на засегнати верзии.

Водичот за инсталација на GitLab им препорачува на администраторите да ја користат Gateway image верзијата што одговара на нивната minor верзија на GitLab. Во безбедносното известување не се наведува дали Gateway верзијата 19.2.4 функционира со GitLab 19.1 или постари верзии, ниту дали се планирани поправки за постарите линии.

Заклучно со 2 октомври, политиката за одржување на GitLab ги наведуваше 19.4, 19.3 и 19.2 како GitLab изданија кои добиваат безбедносни поправки. Тоа се истите три линии за кои е објавена поправка на Gateway.

Не е наведено никакво привремено решение за Gateway серверите кои засега не можат да се ажурираат. Во известувањето исто така нема наведено начин за проверка дали Gateway бил нападнат пред да биде ажуриран.

Што е познато за ранливоста

Според насловот на безбедносното известување, ранливоста се наоѓа во prompt template на прилагоден flow. Custom flow е работен процес управуван од AI, кој корисниците го креираат на Duo Agent Platform за автоматизирање на задачи што се извршуваат во повеќе чекори.

Најавен корисник со пристап до Duo Agent Platform можел да ја искористи ранливоста за да го „напушти sandbox-от на prompt template преку специјално креирана конфигурација на flow“, соопшти GitLab. Ова можело да доведе до произволно извршување команди на Gateway серверот.

Условите потребни за изведување на нападот не се опишани, а не е наведена ниту конкретна корисничка улога, освен условот да има пристап до Duo Agent Platform.

Self-hosted Gateway содржи клучеви за потпишување на JSON Web Tokens (JWT), кои според водичот за инсталација на GitLab мора да се третираат како чувствителни податоци за автентикација. Gateway исто така се поврзува со GitLab инстанцата и со AI провајдерите што ги користи организацијата.

GitLab му додели заслуга на корисникот invisiblemeerkat од платформата HackerOne за пријавувањето на ранливоста.

Во февруари, GitLab поправи уште една ранливост во Gateway, CVE-2026-1868, која исто така доби оценка 9.9. Најавен корисник можел да ја искористи таа ранливост преку специјално креирана дефиниција на flow, што можело да доведе до одбивање на услугата (DoS) или извршување код на Gateway серверот.

Двете ранливости се слабости во template engine од истата класа, CWE-1336. Новото безбедносно известување не ја споменува февруарската ранливост.

Извори:

• The Hacker News – GitLab Patches Critical 9.9 AI Gateway Flaw Allowing Command Execution on Self-Hosted Servers The Hacker News