Критична уязвимост в AI Gateway на GitLab може да позволи на влязъл в системата потребител с достъп до Duo Agent Platform да изпълнява команди на портала (gateway) при определени условия, съобщават от GitLab в официално съобщение за сигурност.
Порталът е услугата, която свързва инстанция на GitLab с модели с изкуствен интелект, и действие трябва да предприемат само организации, които хостват собствен портал. Уязвимостта е отстраненав версии на портала 19.2.4, 19.3.2 и 19.4.1.
Уязвимостта се проследява като CVE-2026-90970. GitLab я разкри на 2 октомври и я оцени като критична с CVSS резултат 9.9 от 10.
GitLab управлява AI Gateways за своите клиенти и вече е инсталирал корекциите за сигурност при тях. Клиентите на GitLab.com, GitLab Dedicated и самостоятелно управляваните инстанции, които използват портал, хостван от GitLab, не е необходимо да предприемат нищо, заявяват от компанията.
Клиентите със самостоятелно управлявани среди могат вместо това да хостват собствен портал — опция, която GitLab предлага за съхранение на данните от заявките и отговорите към AI в рамките на собствената среда на клиента. GitLab горещо препоръчва на тези клиенти незабавно да актуализират своите системи. Компанията изпрати тези указания до клиентите със самостоятелно хоствани портали още преди публикуването на официалното съобщение.
В бюлетина за сигурност не се посочва дали уязвимостта е била използвана при атаки. Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) добави оценка към досието на CVE на 2 октомври, според която не е регистрирана експлоатация ("none"). Другите две стойности на CISA покриват публична концептуална доказателствена атака (proof of concept) и активна експлоатация.
Засегнати и коригирани версии
Версиите по-долу са версии на AI Gateway. Порталът се инсталира като самостоятелно Docker изображение или Helm chart и има свои собствени стъпки за обновяване.
| Използвана версия на портала | Първа коригирана версия |
|---|---|
| 18.1.6 или по-нова, преди 19.2.4 | 19.2.4 |
| 19.3, преди 19.3.2 | 19.3.2 |
| 19.4, преди 19.4.1 | 19.4.1 |
За да обновите Docker внедряване, спрете и премахнете работещия контейнер, след което изтеглете и стартирайте новия маркер на изображението, например self-hosted-v19.4.1-ee. При Helm внедрявания новият маркер се задава в настройката image на chart-а.
Не е посочена коригирана версия под 19.2.4. Това оставя всяка версия на портала от 18.1.6 до линията 19.1 в засегнатия диапазон.
Ръководството за инсталиране на GitLab съветва администраторите да използват изображение на портала, което съответства на тяхната минорна версия на GitLab. В съобщението не се казва дали портал 19.2.4 работи с GitLab 19.1 или по-стара версия, нито дали се планират корекции за по-старите линии.
Към 2 октомври политикaтa за поддръжка на GitLab посочва 19.4, 19.3 и 19.2 като изданията на GitLab, които получават корекции за сигурност. Това са същите три линии, които получиха корекцията за портала.
Не са посочени временни решения (workarounds) за портали, които все още не могат да бъдат обновени. В бюлетина също така не се предоставя начин да се провери дали даден портал е бил атакуван преди актуализирането му.
Какво е известно за уязвимостта
Според заглавието на съобщението уязвимостта се намира в шаблона за подкана (prompt template) на персонализиран поток (custom flow). Персонализираният поток е работен процес с изкуствен интелект, който потребителите създават в Duo Agent Platform за автоматизиране на многостъпкови задачи.
Влязъл в системата потребител с достъп до Duo Agent Platform е можел да използва уязвимостта, за да „излезе от изолираната среда на шаблона за подкана чрез специално конструирана конфигурация на потока“, заявява GitLab. Това излизане от изолираната среда може да доведе до произволно изпълнение на команди върху портала.
Условията, необходими за атаката, не са описани и не е посочена друга потребителска роля освен достъп до Duo Agent Platform.
Самостоятелно хостваният портал съдържа ключове за подписване на JSON Web Tokens (JWT), които според ръководството за инсталиране на GitLab трябва да се третират като чувствителни идентификационни данни. Той също така се свързва с инстанцията на GitLab и с доставчиците на модели с изкуствен интелект на организацията.
GitLab благодари на потребителя invisiblemeerkat от HackerOne за съобщаването на уязвимостта.
През февруари GitLab отстрани друга уязвимост в портала, CVE-2026-1868, която също беше оценена с 9.9. Влязъл в системата потребител можеше да достигне до тази уязвимост чрез специално конструирана дефиниция на поток, което можеше да доведе до отказ на услуга или изпълнение на код върху портала.
И двете уязвимости са слабости в механизма за шаблони от един и същи клас, CWE-1336. Новото съобщение не споменава уязвимостта от февруари.