GitLab AI Gateway-дегі CVSS 9.9 деңгейіндегі сыни осалдықты түзетті
Материал бірнеше дереккөз негізінде жасанды интеллектпен дайындалды — түпнұсқаларға сілтемелер төменде.
GitLab CVE-2026-90970 — AI Gateway-дегі CVSS 9.9 бағаланған сыни осалдыққа түзетулер шығарды. Осалдық Duo Agent Platform-қа қол жеткізе алатын аутентификацияланған пайдаланушыға хостта ерікті командалар орындауға мүмкіндік береді. Өздігінен орналастырылған даналарды қолмен жаңарту қажет, ал GitLab басқаратын сервистер бұған дейін түзетілген.
Негізгі фактілер
- CVE-2026-90970 CVSS 9.9 бағасына ие және негізгі хостта ерікті командалар орындауға мүмкіндік береді.
- Осалдық ағын конфигурациясының пайдаланушы деректерін жеткіліксіз тазалаудан туындаған және CWE-1336 ретінде жіктеледі.
- Өздігінен орналастырылған GitLab даналарын 19.2.4, 19.3.2 немесе 19.4.1 нұсқаларына дейін жаңарту қажет.
- 2026 жылғы 3 қазандағы жағдай бойынша осалдықтың нақты жағдайда пайдаланылғаны туралы дәлелдер және жарияланған proof-of-concept эксплойттері жоқ.
- 2026 жылғы ақпанда Йорн Шнеевайс CVE-2026-1868 — сол Duo Workflow Service компонентіндегі CVSS 9.9 бағаланған ұқсас осалдықты анықтады.
Осалдық егжей-тегжейлері
Осалдық CWE-1336 ретінде жіктеледі және ағын конфигурациясының пайдаланушы деректерін жеткіліксіз тазалаудан туындаған. AI Gateway осы конфигурацияларды өңдеу үшін Jinja2 стиліндегі шаблондық плейсхолдерлерді пайдаланады, ал тиісті бейтараптандырудың болмауы шабуылдаушыға құмсалғыштан шығуға мүмкіндік береді. Күтілетін орындау контекстінен тыс шығып, шабуылдаушы хосттың операциялық жүйесінде тікелей командалар орындау мүмкіндігіне ие болады.
Зардап шеккен жүйелер және түзетулер
Өздігінен орналастырылған GitLab даналары тәуекелге ұшырайды, ал GitLab-та орналастырылған даналар бұған дейін түзетілген. Өздік даналардың операторлары 19.2.4, 19.3.2 немесе 19.4.1 нұсқаларына дейін қолмен жаңартуы қажет. AI Gateway сезімтал JWT қолтаңба кілттерін сақтайтын және ішкі GitLab даналары мен сыртқы AI модель провайдерлеріне қосылуды басқаратын орталық түйін ретінде қызмет етеді.
Контекст және қайталанушылық
2026 жылғы ақпанда Йорн Шнеевайс CVE-2026-1868 — сол Duo Workflow Service компонентіндегі CWE-1336 және CVSS 9.9 бар осалдықты анықтады. Осы осалдықтар класының сол инфрақұрылым қабатында қайталануы шаблондаушы құмсалғыш шекарасы AI агент платформалары үшін тұрақты істен шығу нүктесі болып қала беретінін көрсетеді. 2026 жылғы 3 қазандағы жағдай бойынша нақты жағдайда пайдалану дәлелдері жоқ және ешқандай жария proof-of-concept эксплойті жарияланбаған.
1 дереккөз
Уақыт · артта қалуы