GitLab, GitLab Duo yapay zeka özelliklerine erişim sağlayan AI Gateway servisinde kritik bir güvenlik açığı tespit etti ve müşterilerini derhal yama uygulamaya çağırdı. CVE-2026-90970 olarak kayıtlı açık, temel yetkilere ve Duo Agent Platform erişimine sahip saldırganların savunmasız sistemlerde keyfi komut çalıştırmasına olanak tanıyor.
Şirketin açıklamasına göre sorun, özel olarak hazırlanmış bir akış (flow) yapılandırması aracılığıyla prompt şablonu sanal alanının (sandbox) aşılabilmesinden kaynaklanıyor. Bu durum, kimliği doğrulanmış ancak sınırlı yetkilere sahip bir kullanıcının AI Gateway üzerinde komut çalıştırmasına kapı aralıyor.
Hangi sürümler etkileniyor, çözüm ne?
Açık yalnızca kullanıcıların kendi altyapılarında çalıştırdığı GitLab Duo Self-Hosted AI Gateway kurulumlarını ilgilendiriyor. GitLab.com, GitLab Self-Managed ve GitLab Dedicated için şirketin kendi bulut tabanlı AI Gateway hizmetini kullananlar zaten korunuyor ve ek bir işlem yapmaları gerekmiyor.
Bunlar da İlginizi Çekebilir
Sorunu gidermek için GitLab, 19.2.4, 19.3.2 ve 19.4.1 sürümlerini yayımladı. Şirket, bu sürümlerdeki düzeltmenin kritik önemde olduğunu vurgulayarak kendi AI Gateway’ini barındıran tüm Self-Managed müşterilerine en kısa sürede güncelleme yapmaları çağrısında bulundu. GitLab, açıklamayı kamuoyuyla paylaşmadan önce etkilenen müşterilere doğrudan ulaştığını da belirtti.
GitLab’ın son dönemdeki açık sicili
Bu olay, GitLab için kısa sürede ortaya çıkan ikinci ciddi güvenlik sorunu oldu. Geçtiğimiz ay şirket, Community Edition ve Enterprise Edition sürümlerinde kimlik doğrulaması gerektirmeyen saldırganların kimlik bilgileri gibi hassas verileri okumasına izin veren maksimum önem derecesindeki bir path traversal açığını (CVE-2026-85706) kapatmıştı. Bu açık bir gün sonra ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) tarafından aktif olarak istismar edilen açıklar listesine eklenmiş ve federal kurumlara sistemlerini üç gün içinde güvence altına alma zorunluluğu getirilmişti.
CISA, 2021’den bu yana GitLab’a ait beş güvenlik açığını gerçek saldırılarda kullanılmış olarak işaretledi; bunlardan biri fidye yazılımı çeteleri tarafından istismar edilmişti. Milyonlarca kayıtlı kullanıcısı ve Fortune 100 şirketlerinin yarısından fazlasını müşteri olarak bulunduran bir platform için bu tablo, kurumsal müşterilerin yama yönetimini ne kadar ciddiye alması gerektiğini bir kez daha gösteriyor.
Kaynak: BleepingComputer
YORUMLAR
(0)