⚠️ Зловив доволі неприємну деталь по GitLab Duo і хочу поділитися, бо це може боляче вдарити по тим, хто крутить все on-prem. Свіжа вразливість CVE-2026-90970 в GitLab AI Gateway дає можливість виконувати довільні команди на шлюзі за допомогою кривого custom flow у Duo Agent Platform.

Критичність 9.9/10, і під ударом саме self-hosted AI Gateway. Якщо ви не на GitLab.com і не користуєтеся gateway, який хостить сам GitLab, дуже раджу перевірити версію 🛡️. Безпечні тільки 19.2.4, 19.3.2, 19.4.1 – все нижче цього треба терміново оновити, інакше є ризик втратити контроль над JWT-ключами й трафіком між GitLab і AI-моделями.

Мені здається важливо ще раз переглянути, хто у вас має доступ до Duo Agent Platform і може створювати/міняти custom flow 🧩. GitLab не дає нормального workaround і чіткого способу зрозуміти, чи вас уже ламали, тож я б після апдейту ще глянув логи gateway й підозрілі flow.

🤔 Ви вже крутите GitLab Duo self-hosted, чи поки обходитесь без цієї історії — і чому?

🔗 Докладніше:
https://cybersecurefox.com/uk/krytychna-vrazlyvist-gitlab-ai-gateway-rce

#gitlab #security #devsecops #cve #ai #selfhosted

CyberSecureFox