CVE-2026-90970: falha crítica no GitLab AI Gateway pode permitir execução remota de código
Uma vulnerabilidade crítica no GitLab Self-Hosted AI Gateway pode permitir que um usuário autenticado escape do sandbox de templates de prompt e execute comandos no ambiente do serviço. Identificada como CVE-2026-90970, a falha recebeu pontuação CVSS 9,9. O GitLab recomenda que as organizações com instalações afetadas atualizem o componente sem demora.
A correção foi publicada em 2 de outubro. O alerta se aplica a organizações que operam o AI Gateway em ambientes GitLab Self-Managed. Já as instalações que utilizam o serviço de AI Gateway hospedado pelo próprio GitLab receberam a correção do fornecedor, segundo a empresa.
Como a vulnerabilidade funciona
A falha está ligada à neutralização inadequada de caracteres especiais em um mecanismo de templates, problema classificado como CWE-1336. Em determinadas condições, uma pessoa autenticada com acesso à Duo Agent Platform pode enviar uma configuração de fluxo especialmente preparada e ultrapassar as restrições do sandbox usado pelos templates de prompt.
O sandbox deveria separar o conteúdo de configuração das instruções executadas pelo sistema. Quando essa barreira falha, a entrada manipulada pode deixar de ser apenas parte do fluxo esperado e levar à execução de comandos no contexto do AI Gateway.
A exploração não é descrita como aberta a qualquer pessoa na internet: é necessário ter uma conta autenticada e acesso à Duo Agent Platform. Ainda assim, o GitLab atribuiu CVSS 9,9 à CVE. A combinação de baixa complexidade de ataque, ausência de interação de outra vítima e possibilidade de executar comandos ajuda a explicar a classificação elevada.
Versões afetadas e corrigidas
De acordo com o GitLab, são vulneráveis:
– versões a partir da 18.1.6 e anteriores à 19.2.4;
– versões da linha 19.3 anteriores à 19.3.2;
– versões da linha 19.4 anteriores à 19.4.1.
As versões 19.2.4, 19.3.2 e 19.4.1 incluem a correção. Administradores devem confirmar qual versão do AI Gateway está efetivamente em execução – não apenas a versão principal do GitLab – e atualizar o componente conforme a linha utilizada.
Por que o impacto depende da implantação
O AI Gateway dá suporte a recursos de inteligência artificial do GitLab, incluindo funcionalidades do GitLab Duo e da Duo Agent Platform. Em instalações próprias, o serviço pode usar credenciais sensíveis, como chaves de assinatura e validação JWT, armazenadas no ambiente de execução.
A possibilidade de execução de comandos não significa, por si só, que um invasor obtenha automaticamente acesso a todos os repositórios, pipelines ou credenciais da organização. O alcance depende das permissões do processo, das variáveis de ambiente disponíveis, dos volumes montados, das regras de rede e dos acessos concedidos ao container ou ao host.
Em uma implantação com isolamento insuficiente, um atacante que comprometa o serviço poderá tentar ler arquivos acessíveis ao processo, abusar de credenciais disponíveis no runtime ou se comunicar com outros sistemas internos. Se o componente estiver limitado por privilégios mínimos e segmentação de rede, essas barreiras podem reduzir o que é possível fazer após a exploração.
O que as equipes de segurança devem fazer
A prioridade é instalar uma versão corrigida em todas as instâncias afetadas. Se a atualização não puder ser feita imediatamente, a organização deve avaliar medidas temporárias para restringir o acesso à Duo Agent Platform e limitar a exposição do AI Gateway, sem tratar essas medidas como substitutas definitivas do patch.
Também é recomendável revisar a configuração do serviço. O processo deve operar com somente as permissões necessárias, sem acesso amplo ao host, a arquivos sensíveis ou a recursos de outros workloads. Credenciais que não sejam indispensáveis não devem ficar disponíveis no ambiente de execução.
A segmentação de rede merece atenção especial. O AI Gateway deve alcançar apenas os serviços necessários ao seu funcionamento. Restringir conexões de saída e bloquear o acesso a componentes internos não relacionados pode dificultar o movimento lateral caso o serviço seja comprometido.
As equipes devem ainda revisar os volumes e diretórios montados no container. Montagens com permissão de escrita, acesso a sockets administrativos ou exposição de arquivos do host podem ampliar o impacto de uma execução de comandos. A configuração mais segura é manter o ambiente isolado e reduzir ao mínimo os recursos compartilhados.
Atualizar não encerra a investigação
Se uma instalação vulnerável ficou exposta antes da aplicação da correção, a atualização elimina a falha conhecida, mas não confirma que ela não tenha sido explorada. Por isso, é importante analisar logs do AI Gateway, eventos de autenticação, alterações de configuração e atividade incomum no host ou no container durante o período de exposição.
A investigação deve considerar possíveis sinais de comandos inesperados, conexões a destinos não habituais, criação ou alteração de arquivos e uso atípico de credenciais. Caso haja indícios de comprometimento, a organização deve revogar e substituir segredos acessíveis ao serviço, além de avaliar se outros sistemas foram alcançados.
Por fim, o incidente reforça que componentes de IA integrados ao desenvolvimento precisam ser tratados como infraestrutura crítica. Sandboxes e filtros ajudam a reduzir riscos, mas não substituem controles de identidade, autorização, isolamento e monitoramento. A combinação de correção rápida, privilégio mínimo e resposta adequada a incidentes é essencial para limitar o impacto de falhas semelhantes.