GitLab закрыл критическую уязвимость AI Gateway с выполнением команд на серверах

GitLab выпустил исправление для критической уязвимости в AI Gateway — службе, которая связывает экземпляр GitLab с языковыми моделями. При определённых условиях авторизованный пользователь с доступом к Duo Agent Platform мог выполнить команды прямо на шлюзе.

Уязвимость получила идентификатор CVE-2026-90970 и была раскрыта 2 октября. Её оценка по шкале CVSS — 9.9 из 10. Проблема устранена в версиях шлюза 19.2.4, 19.3.2 и 19.4.1.

Кому нужно действовать

Срочно обновляться должны только те организации, которые разворачивают AI Gateway в собственной инфраструктуре. Этот вариант GitLab предлагает тем, кто хочет держать данные запросов и ответов внутри своей среды. Клиентам GitLab.com, GitLab Dedicated и самоуправляемых инсталляций, использующим шлюз на стороне GitLab, делать ничего не нужно — такие шлюзы компания уже исправила. Владельцам собственных шлюзов GitLab разослал рекомендацию обновиться ещё до публикации бюллетеня.

Шлюз поставляется как отдельный образ Docker или Helm-чарт и обновляется своими средствами: для Docker нужно остановить и удалить текущий контейнер, затем запустить новый образ (например, self-hosted-v19.4.1-ee). Обходного решения для шлюзов, которые нельзя обновить сразу, не предусмотрено. Нет и способа проверить, подвергался ли шлюз атаке до обновления.

Ниже версии 19.2.4 исправлений не выпущено, поэтому все выпуски от 18.1.6 до линейки 19.1 остаются в зоне риска. При этом политика поддержки GitLab на 2 октября предусматривает исправления безопасности как раз для линеек 19.4, 19.3 и 19.2.

Что известно об уязвимости

Судя по заголовку бюллетеня, ошибка кроется в шаблоне промпта пользовательского потока (custom flow) — рабочего процесса на базе ИИ, который пользователи создают в Duo Agent Platform для автоматизации многошаговых задач. С помощью специально составленной конфигурации потока можно было, по словам GitLab, «выбраться из песочницы шаблона промпта» и добиться выполнения произвольных команд на шлюзе. Какие именно условия нужны для атаки и какая роль требуется помимо доступа к Duo Agent Platform, в бюллетене не уточняется.

У собственного шлюза есть и что защищать: он хранит ключи подписи JWT-токенов, которые GitLab называет чувствительными учётными данными, а также подключается к экземпляру GitLab и к внешним поставщикам моделей.

Бюллетень не сообщает, применялась ли уязвимость в атаках. CISA 2 октября добавила в запись о CVE оценку, в которой эксплуатация помечена как «отсутствует». Об ошибке сообщил исследователь invisiblemeerkat на платформе HackerOne.

Это уже вторая подобная находка за год: в феврале GitLab закрыл CVE-2026-1868 — тоже с оценкой 9.9, тоже достижимую через поток и ведущую к отказу в обслуживании или выполнению кода на шлюзе. Обе ошибки относятся к одному классу слабостей шаблонных движков (CWE-1336), однако новый бюллетень о февральской не упоминает.

Источник: The Hacker News