Falha crítica (CVSS 9.9) no AI Gateway do GitLab permite execução remota de comandos
O GitLab corrigiu uma falha crítica no AI Gateway que permitia a um usuário autenticado com acesso à Duo Agent Platform escapar do sandbox do motor de templates de prompt e executar comandos arbitrários no servidor do gateway. O problema afeta apenas organizações que hospedam seu próprio AI Gateway e já foi corrigido nas versões 19.2.4, 19.3.2 e 19.4.1.
A vulnerabilidade, catalogada como CVE-2026-90970 e classificada como CWE-1336 (injeção em motor de templates), está localizada na forma como o AI Gateway do GitLab processa templates de prompt dentro de fluxos (flows) customizados da Duo Agent Platform — o recurso que conecta instâncias do GitLab a modelos de IA para automatizar tarefas de desenvolvimento. Um usuário autenticado com permissão para criar ou editar esses fluxos conseguia montar uma configuração especialmente elaborada capaz de escapar do sandbox do template engine, alcançando execução de comandos arbitrários no servidor que hospeda o gateway.
Em termos técnicos, isso é uma classe clássica de Server-Side Template Injection (SSTI) aplicada a um novo contexto: pipelines de IA que montam prompts dinamicamente a partir de entrada controlada pelo usuário. Como o gateway de IA tem acesso privilegiado — ele é o componente que efetivamente conversa com os modelos e, em arquiteturas agenticas, pode disparar ações automatizadas no restante da infraestrutura —, uma falha de sandboxing nesse ponto específico dá ao atacante um salto direto de "usuário autenticado com permissão limitada" para "execução de código no servidor", sem precisar de nenhuma vulnerabilidade adicional.
O alcance prático é limitado a organizações que hospedam seu próprio AI Gateway (self-hosted), já que o SaaS do GitLab não é afetado da mesma forma — mas para quem roda on-premise, a pontuação CVSS 9.9 reflete o fato de que a exploração não exige privilégios administrativos, apenas uma conta com acesso à Duo Agent Platform, e o impacto é total comprometimento do servidor do gateway. É o segundo flaw crítico (9.9) nesse mesmo componente em poucos meses — o anterior, CVE-2026-1868, foi corrigido em fevereiro —, o que sugere que a superfície de ataque introduzida por motores de template de prompt customizáveis em plataformas de IA agentic ainda está sendo mapeada e precisa de mais rigor em sandboxing desde o design.
Para equipes que operam GitLab self-hosted com Duo Agent Platform habilitado, a recomendação é atualizar imediatamente para 19.2.4, 19.3.2 ou 19.4.1 e revisar quais usuários têm permissão para criar ou modificar fluxos customizados, já que esse é o único pré-requisito de exploração.