GitLab Patches Critical 9.9 AI Gateway Flaw Allowing Command Execution on Self-Hosted Servers
The Hacker News · 2 oct, 19:33
GitLab ha parcheado una vulnerabilidad crítica (CVE-2026-90970, CVSS 9.9) en su AI Gateway que permitía a un usuario autenticado con acceso a Duo Agent Platform ejecutar comandos arbitrarios en el servidor mediante un escape del sandbox del prompt template. Solo los clientes con gateways autoalojados necesitan actuar; los que usan gateways alojados por GitLab ya están protegidos. Se recomienda actualizar inmediatamente a las versiones 19.2.4, 19.3.2 o 19.4.1.
El fallo afecta a versiones del AI Gateway desde la 18.1.6 hasta la 19.1, permitiendo a un usuario autenticado escapar del sandbox de la plantilla de prompt mediante una configuración de flujo especializada en el Duo Agent Platform. Un gateway autoalojado contiene claves de firma para JSON Web Tokens y conecta tanto con la instancia de GitLab como con los proveedores de modelos de IA de la organización, lo que hace que esta vulnerabilidad sea particularmente grave al permitir acceso a credenciales sensibles y recursos conectados.
GitLab divulgó la vulnerabilidad el 2 de octubre y CISA confirmó que no hay evidencia de explotación en la naturaleza (clasificación "none"). Sin embargo, el patrón es preocupante: en febrero GitLab parcheó CVE-2026-1868, otra vulnerabilidad de clase CWE-1336 en el motor de plantillas con CVSS 9.9 igualmente grave. La falta de workarounds y la ausencia de método para detectar acceso previo complican la remediación para usuarios que no pueden actualizar inmediatamente.
Puntos clave
- Vulnerabilidad en prompt template escape permite RCE en gateways autoalojados
- Afecta versiones AI Gateway 18.1.6 hasta 19.1; parcheado en 19.2.4, 19.3.2, 19.4.1
- Requiere usuario autenticado con acceso Duo Agent Platform y flujo especializado
- Sin explotación confirmada; sin workarounds disponibles hasta actualizar
- GitLab.com, GitLab Dedicated y instancias con gateway alojado no se ven afectadas