GitLab AI Gateway: Ausbruch aus Template-Sandbox ermöglicht Command Execution

Zusammenfassung

GitLab AI Gateway enthält eine Schwachstelle bei der Verarbeitung benutzerdefinierter Prompt-Templates für Flows (CWE-1336). Ein authentifizierter Benutzer mit Zugriff auf Duo Agent Platform kann mit einer speziell erstellten Flow-Konfiguration aus der Prompt-Template-Sandbox ausbrechen und beliebige Befehle auf dem Host des AI Gateway ausführen. Laut Hersteller gilt dies nur unter bestimmten Bedingungen, die nicht näher benannt sind. Der Host eines selbst betriebenen Gateways enthält JWT-Signaturschlüssel und Zugangsdaten zu Modellanbietern, weshalb die Auswirkungen hoch sind.

Betroffen

• GitLab AI Gateway 18.1.6 vor 19.2.4
• GitLab AI Gateway 19.3 vor 19.3.2
• GitLab AI Gateway 19.4 vor 19.4.1
• Nur selbst betriebene Gateways sind betroffen; GitLab-gehostete Gateways enthalten den Fix bereits.

Behoben in

• 19.2.4, 19.3.2 oder 19.4.1 oder eine spätere Version derselben Linie
• Unbestätigt: Eine Sekundärquelle gibt an, dass für 19.1 und ältere Versionen kein Patch existiert. Behandeln Sie 18.x, 19.0 und 19.1 als ungepatcht und aktualisieren Sie sie auf eine fixe Linie.

Umgehung

Unbekannt. Der Hersteller veröffentlicht keinen Workaround; das Einspielen des Patches ist die genannte Massnahme.

Ausnutzung

• CISA-SSVC-Bewertung im CVE-Eintrag: Exploitation none, Automatable no, Technical Impact total.
• GitLab gibt nicht an, dass die Schwachstelle ausgenutzt wurde.
• Anfang Oktober 2026 nicht im CISA-Katalog Known Exploited Vulnerabilities aufgeführt.
• Angaben zu einem öffentlichen Proof of Concept oder zu aktiver Ausnutzung sind nicht verifiziert und widersprüchlich.

Unsere Empfehlung

• Prüfen Sie, ob Kunden ein selbst betriebenes AI Gateway einsetzen, und welche Version läuft.
• Aktualisieren Sie auf 19.2.4, 19.3.2, 19.4.1 oder später auf der passenden Linie; überführen Sie Instanzen mit 18.x, 19.0 und 19.1 auf eine fixe Linie.
• Prüfen Sie, wer Zugriff auf Duo Agent Platform hat, und reduzieren Sie ihn auf das Nötige, einschliesslich der Berechtigung, benutzerdefinierte Flow-Konfigurationen zu erstellen.
• Prüfen Sie, ob das Gateway von ausserhalb Ihres Netzwerks erreichbar ist, und beschränken Sie den Zugriff.
• Prüfen Sie die Gateway-Logs auf ungewöhnliche Flow-Konfigurationen.
• Beobachten Sie den NVD-Eintrag und die Herstellerwarnung auf Änderungen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  techupdate24/gitlab-ai-gateway-cve-2026-90970

Quellen der Recherche

• GitLab work item 628842 gitlab.com
• GitLab patch release: AI Gateway 19.4.1 docs.gitlab.com
• The Hacker News: GitLab patches critical self-hosted AI gateway flaw thehackernews.com
• Security Affairs: CVE-2026-90970 GitLab AI Gateway flaw fixed securityaffairs.com
• Tech Insider: GitLab AI Gateway CVE-2026-90970 tech-insider.org
• TheCyberSecGuru: GitLab AI Gateway CVE-2026-90970 thecybersecguru.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:44.