Wykryto poważną lukę w „GitLab AI Gateway”

white and gray cable — Jonathan / Unsplash

GitLab ujawnił, że w „GitLab AI Gateway” odkryto poważną lukę, co skłoniło firmę do wydania poprawki. Użytkownicy samodzielnie hostowanych środowisk zostali wezwani do szybkiej aktualizacji.

Luka o nazwie „CVE-2026-90970” może umożliwić wykonanie dowolnych poleceń. Problem ten występuje w przetwarzaniu szablonów komunikatów dla niestandardowych przepływów. Uwierzytelnieni użytkownicy mający dostęp do „Duo Agent Platform” mogą, wykorzystując spreparowane ustawienia przepływu, omijać piaskownicę i wykonywać dowolne polecenia pod pewnymi warunkami.

Luka została oceniona w systemie oceny luk „CVSSv3.1” na 9.9, co klasyfikuje ją jako „krytyczną”. GitLab wydał poprawki w wersjach „GitLab AI Gateway 19.4.1”, „19.3.2” oraz „19.2.4”. Użytkownicy zostali poproszeni o aktualizację, natomiast w przypadku „AI Gateway” hostowanego przez GitLab poprawki już zostały wdrożone.

Dodatkowo, w wiadomościach branżowych wskazano na inne problemy z bezpieczeństwem, takie jak aktualizacje „Chrome” oraz luki w „NetScaler” i „Apache HTTPD”.