GitLab je izdal nujno varnostno opozorilo, v katerem poziva vse stranke, da nemudoma posodobijo svoje sisteme. Odkrita kritična ranljivost v storitvi AI Gateway napadalcem namreč omogoča izvajanje poljubne kode na prizadetih strežnikih – brez potrebe po avtentikaciji. Gre za eno resnejših varnostnih pomanjkljivosti, ki je v zadnjem času prizadela to priljubljeno DevOps platformo.
Ranljivost, evidentirana kot CVE-2026-XXXX (točna CVE oznaka ob objavi ni bila razkrita v celoti), dosega kritično oceno CVSS in zadeva komponento AI Gateway, ki je bila v GitLab uvedena kot del integracije umetne inteligence za pomoč razvijalcem. Storitev privzeto posluša na ločenih vratih in v določenih konfiguracijah ni ustrezno zaščitena pred nepooblaščenim dostopom iz omrežja.
Prizadete so vse namestitve GitLab Community Edition (CE) in Enterprise Edition (EE), ki vključujejo AI Gateway in delujejo na različicah pred najnovejšim varnostnim popravkom. Posebej ranljive so samogostovane (self-hosted) postavitve, kjer skrbniki niso omejili dostopa do AI Gateway prek požarnega zidu ali omrežnih pravil.
V primeru uspešnega izkoriščanja ranljivosti bi napadalec pridobil možnost izvajanja ukazov z dovoljenji procesa AI Gateway, kar v praksi pomeni možnost kraje izvorne kode, gesel, API ključev ter sabotaže CI/CD cevovodov. Glede na to, da GitLab pogosto hrani občutljivo intelektualno lastnino podjetij, je potencialna škoda izjemno visoka.
GitLab je ranljivost odpravil v najnovejši različici platforme in vse administratorje poziva k takojšnji posodobitvi. Organizacije, ki ne morejo takoj namestiti popravka, naj kot začasni ukrep onemogočijo ali ustrezno izolirajo storitev AI Gateway ter omejijo dostop do njenih vrat izključno na zaupanja vredne naslove IP.
Priporočila za zaščito so jasna: preverite trenutno različico GitLab namestitvi in jo posodobite na najnovejšo varnostno različico. Preglejte omrežne politike in zagotovite, da AI Gateway ni dostopen iz nezaupljivih omrežij. Opravite pregled sistemskih dnevnikov za morebitne znake zlorabe, zlasti za nenavadne procese ali odhodne mrežne povezave. Vklopite večfaktorsko avtentikacijo za vse privilegirane račune ter razmislite o implementaciji rešitev za zaznavanje anomalij v CI/CD okoljih.
Incident ponovno poudarja tveganja, ki jih prinašajo AI komponente v razvojnih platformah – hitro uvajanje novih funkcij pogosto prehiteva varnostno preverjanje, kar ustvarja nove napadne površine v kritični infrastrukturi.
Vir: https://www.bleepingcomputer.com/news/security/gitlab-warns-of-critical-rce-vulnerability-in-ai-gateway-service/
Originalna objava: 2026-10-02
Članek je pripravljen na osnovi tujega vira s pomočjo AI in prilagojen za slovenskega bralca.