GitLab AI Gateway Xidmətində Kritik RCE Zəifliyi Aşkarlanıb: CVE-2026-90970
DevOps və proqram təminatı idarəetmə platforması GitLab, süni intellekt əsaslı “GitLab Duo” imkanlarını təmin edən “AI Gateway” xidmətində kritik təhlükəsizlik boşluğu barədə xəbərdarlıq yayımlayıb. Aşkarlanan zəiflik təcavüzkarlara təcrid olunmuş mühitdən kənara çıxaraq hədəf serverlərdə uzaqdan ixtiyari kod icra etməyə (Remote Code Execution – RCE) şərait yaradır.
Zəifliyin Texniki Mahiyyəti və Təhlükə Səviyyəsi
Təhlükəsizlik bülleteninə əsasən, boşluq CVE-2026-90970 identifikatoru ilə qeydiyyata alınıb və CWE-1336 (şablon mühərrikində xüsusi elementlərin düzgün neytrallaşdırılmaması) növünə aiddir. Zəiflik GitLab-ın süni intellekt sorğularını emal etdiyi prompt şablonu mexanizmindəki boşluqdan qaynaqlanır.
Hücum ssenarisi aşağıdakı riskləri ehtiva edir:
- Sandbox-dan çıxış: Duo Agent Platform giriş hüququna malik olan autentifikasiyadan keçmiş hücumçular xüsusi formatlaşdırılmış axın (flow) konfiqurasiyası təqdim edə bilərlər.
- Sistem səviyyəsində kod icrası: Bu konfiqurasiya prompt şablonunun təcrid olunmuş sandbox mühitini aşaraq, birbaşa əməliyyat sistemi səviyyəsində ixtiyari əmrlərin işə salınmasına yol açır.
- İnfrastrukturun ələ keçirilməsi: RCE hücumu nəticəsində hücumçular serverdə yerləşən həssas məlumatları, süni intellekt modellərinin konfiqurasiyalarını və daxili şəbəkə resurslarını təhlükə altına ata bilərlər.
Təsirlənən Mühitlər və Təhlükəsizlik Vəziyyəti
GitLab tərəfindən idarə olunan bulud əsaslı AI Gateway instansiyaları mərkəzləşdirilmiş şəkildə qorunma altına alınıb və müvafiq təhlükəsizlik tədbirləri tətbiq edilib. Bununla belə, AI Gateway xidmətini öz fərdi serverlərində yerləşdirən (self-hosted) müştərilər birbaşa təhlükə altındadır.
Buraxılan Təhlükəsizlik Yeniləmələri və Tövsiyələr
GitLab mühəndisləri bu kritik boşluğu aradan qaldırmaq məqsədilə xüsusi təhlükəsizlik yeniləmələri yayımlayıb. Xidmətin aşağıdakı versiyalara dərhal yüksəldilməsi tövsiyə edilir:
- 19.2.4
- 19.3.2
- 19.4.1
BITEP.net komandası olaraq, infrastrukturunda GitLab AI Gateway həllini “self-hosted” formatda tətbiq edən təşkilatlara və sistem administratorlarına xidmətin ən son versiyaya dərhal yenilənməsini, eləcə də Duo Agent Platform çıxış icazələrini və server loqlarını şübhəli fəaliyyətlərə qarşı yoxlamağı tövsiyə edirik.