GitLab corrigió una vulnerabilidad crítica (CVE-2026-90970) en su AI Gateway que permitía a usuarios autenticados ejecutar comandos arbitrarios. El fallo solo afecta a organizaciones que alojan su propio gateway, mientras que los servicios gestionados por GitLab ya fueron actualizados. Se recomienda a los clientes afectados actualizar inmediatamente a las versiones 19.2.4, 19.3.2 o 19.4.1.





Un fallo crítico en el AI Gateway de GitLab podría permitir que un usuario conectado con acceso a la plataforma Duo Agent ejecute comandos en la puerta de enlace bajo ciertas condiciones, según informó GitLab en un aviso.

El gateway es el servicio que conecta una instancia de GitLab con modelos de IA, y solo las organizaciones que alojan su propio gateway deben tomar medidas. El fallo ha sido corregido en las versiones de gateway 19.2.4, 19.3.2 y 19.4.1.

El fallo se identifica como CVE-2026-90970. GitLab lo reveló el 2 de octubre y lo calificó como crítico, con una puntuación CVSS de 9.9 sobre 10.

GitLab gestiona los AI Gateways para sus clientes y ya los ha corregido. Los clientes de GitLab.com, GitLab Dedicated e instancias autogestionadas que utilizan un gateway alojado por GitLab no necesitan hacer nada, afirmó la empresa.

Los clientes autogestionados pueden, en cambio, alojar su propio gateway, una opción que GitLab ofrece para mantener los datos de solicitudes y respuestas de IA dentro del propio entorno del cliente. GitLab recomienda encarecidamente que esos clientes actualicen inmediatamente. La empresa envió esta guía a los clientes con gateways autogestionados antes de publicar el aviso.

El aviso no indica si el fallo ha sido utilizado en ataques. La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) añadió una evaluación al registro del CVE el 2 de octubre que indica que la explotación es "nula".

Versiones afectadas y corregidas

Las versiones a continuación son versiones del AI Gateway. El gateway se instala como su propia imagen de Docker o Helm chart y tiene sus propios pasos de actualización.

Versión de gateway en uso | Primera versión corregida
18.1.6 o posterior, antes de 19.2.4 | 19.2.4
19.3, antes de 19.3.2 | 19.3.2
19.4, antes de 19.4.1 | 19.4.1

Para actualizar un despliegue de Docker, detén y elimina el contenedor en ejecución, luego descarga y ejecuta la nueva etiqueta de imagen, por ejemplo self-hosted-v19.4.1-ee. Los despliegues de Helm establecen la nueva etiqueta en la configuración de imagen del chart.

No se enumera ninguna versión corregida inferior a la 19.2.4. Esto deja cada versión de gateway desde la 18.1.6 hasta la línea 19.1 dentro del rango afectado.

La guía de instalación de GitLab indica a los administradores que utilicen la imagen de gateway que coincida con su versión menor de GitLab. El aviso no dice si un gateway 19.2.4 funciona con GitLab 19.1 o anterior, o si hay planes de correcciones para las líneas más antiguas.

A fecha de 2 de octubre, la política de mantenimiento de GitLab enumeraba las versiones 19.4, 19.3 y 19.2 como los lanzamientos de GitLab que reciben correcciones de seguridad. Esas son las mismas tres líneas que recibieron la corrección del gateway.

No se indica ninguna solución alternativa para los gateways que aún no pueden actualizarse. El aviso tampoco ofrece ninguna forma de comprobar si un gateway fue atacado antes de ser actualizado.

Qué se sabe sobre el fallo

El fallo se encuentra en la plantilla de prompt de un flujo personalizado, según el título del aviso. Un flujo personalizado es un flujo de trabajo impulsado por IA que los usuarios crean en la plataforma Duo Agent para automatizar tareas de varios pasos.

Un usuario conectado con acceso a la plataforma Duo Agent podría haber utilizado el fallo para "escapar del sandbox de la plantilla de prompt mediante una configuración de flujo especialmente diseñada", afirmó GitLab. El escape podría conducir a la ejecución de comandos arbitrarios en el gateway.

Las condiciones que necesita el ataque no están descritas, y no se menciona ningún rol de usuario más allá del acceso a la plataforma Duo Agent.

Un gateway autogestionado contiene claves de firma para JSON Web Tokens (JWT), que la guía de instalación de GitLab dice que deben tratarse como credenciales sensibles. También se conecta a la instancia de GitLab y a los proveedores de modelos de IA de la organización.

GitLab acreditó al usuario de HackerOne invisiblemeerkat por reportar el fallo.

En febrero, GitLab corrigió otro fallo de gateway (CVE-2026-1868), que también calificó con 9.9. Un usuario conectado podía acceder a ese fallo a través de una definición de flujo diseñada, y podría provocar una denegación de servicio o la ejecución de código en el gateway.

Ambos fallos son debilidades del motor de plantillas de la misma clase, CWE-1336. El nuevo aviso no menciona el fallo de febrero.

Fuente:
THN