GitLab 已针对 AI Gateway 中的一处严重漏洞发布紧急安全更新。攻击者在通过身份认证后，可利用该漏洞远程执行代码。该漏洞编号为 CVE-2026-90970，CVSS 评分高达 9.9，主要影响自托管部署的 AI Gateway 实例——这类实例正是支撑 GitLab Duo AI 功能的基础设施。
GitLab 已发布 AI Gateway 19.2.4、19.3.2、19.4.1 三个版本修复该漏洞，并强烈建议运行受影响自托管网关的客户立即升级。其实在发布安全公告之前，GitLab 已经提前联系过所有自托管 AI Gateway 客户，告知更新要求并提供了前期指导。
漏洞源于提示词模板沙箱逃逸
该漏洞的根源，与自定义流程提示词模板的处理逻辑有关。在特定条件下，拥有 Duo Agent Platform 访问权限的认证用户，可以提交特制的流程配置，从而绕过提示词模板的沙箱限制。攻击者一旦利用成功，就能在 AI Gateway 上执行任意命令。
沙箱原本的作用，是将模板处理逻辑限制在可控边界之内。但本次漏洞中的特制输入可以突破这一边界，最终抵达命令执行层面。这也意味着，漏洞的危害远不止篡改 AI 响应内容——它会直接冲击处理 AI 请求的核心服务。
从公开的 CVSS 向量来看，该漏洞可通过网络远程利用，攻击复杂度极低，攻击者仅需普通权限即可发起攻击，甚至无需用户交互。它还会严重影响系统的机密性、完整性与可用性。不过有一点需要明确：该漏洞并不支持未认证访问利用。攻击者必须持有有效账号，且账号还需具备 Duo Agent Platform 访问权限。
GitLab 对安全研究员 invisiblemeerkat 负责任的漏洞上报行为表达了感谢。本次安全公告没有提供漏洞利用载荷，也没有披露涉及的模板引擎信息，同时并未通报任何在野利用的情况。公告未披露这些细节是有原因的：目前仅能确认存在严重安全缺陷，并不代表攻击者已经开始利用该漏洞。
受影响的 AI Gateway 版本包括：18.1.6 及以上、19.2.4 以下的版本；19.3 分支中 19.3.2 之前的版本；19.4 分支中 19.4.1 之前的版本。上述版本范围只针对 AI Gateway 组件。管理员需要核查网关部署的实际版本，不能仅凭主 GitLab 实例的版本号去判断。
GitLab 已经为其托管的 AI Gateway 部署了修复补丁。使用 GitLab.com、GitLab Dedicated 服务，或者连接 GitLab 官方托管 AI Gateway 的 GitLab Self-Managed 实例用户，已经在官方保护范围内，无需针对该漏洞采取额外操作。自行部署受影响版本 AI Gateway 的客户，则需要手动安装更新。
搞清楚这一差异很重要。因为 GitLab 的自托管 AI 架构允许企业在自有环境内，管理发往所选模型后端的所有请求。Cybersecurity News 此前还报道过 GitLab Duo 的另一处提示词注入漏洞，当时的漏洞可导致源代码泄露。需要区分清楚：那一漏洞与本次的网关沙箱逃逸漏洞完全不同。
管理员需立即升级网关
管理员应参照 GitLab 官方 AI Gateway 安装升级文档，部署已打补丁的镜像。部署完成后需要校验运行状态，不能跳过必要的验证步骤。
针对 Docker 部署场景，GitLab 给出了明确的操作指引：先停止并删除现有容器，拉取最新版本镜像后，配置正确的环境变量启动。部署完成后还要校验镜像摘要，并运行官方提供的健康检查，确认服务状态正常。
针对 Kubernetes 和 Helm 部署场景，GitLab 提醒缓存镜像可能导致无法拉取到更新后的代码。官方建议通过指定镜像摘要或设置合适的拉取策略，避免出现更新不生效的问题。
管理员还应在保留必要连接的前提下，限制网关不必要的出站流量。这些管控措施有助于加强系统安全加固，但最优先的事项，仍然是立即安装修复版本的 AI Gateway，不得拖延。
参考来源：Critical GitLab AI Gateway Vulnerability Enables Remote Code Execution Attacks | 
发表于 昨天 23:53
|
查看: 8|
回复: 0
