هشدار فوری گیت‌لب: یک باگ امنیتی بحرانی در سرویس هوش مصنوعی AI Gateway کشف شد؛ فوراً آپدیت کنید!

گیت‌لب با انتشار یک هشدار فوری، از کاربران خود خواست سریعاً یک آسیب‌پذیری بسیار خطرناک را در سرویس هوش مصنوعی AI Gateway وصله کنند؛ روزنه‌ای که به هکرها اجازه می‌دهد دستورات و کدهای دلخواهشان را روی سیستم‌های آسیب‌پذیر اجرا کنند.

سرویس AI Gateway در واقع پلی برای دسترسی به قابلیت‌های بومی هوش مصنوعی در ابزار GitLab Duo است. در حالی که خود گیت‌لب یک نمونه ابری از این سرویس را برای سرویس‌های GitLab.com، نسخه‌های Self-Managed و Dedicated مدیریت می‌کند، کاربران می‌توانند از طریق سرویس GitLab Duo Self-Hosted، سرور‌های اختصاصی خودشان را هم روی زیرساخت محلی مستقر کنند.

این حفره امنیتی که با شناسه CVE-2026-90970 ردیابی می‌شود، از یک نقص در اعتبارسنجی و خنثی‌سازی ورودی‌ها سرچشمه می‌گیرد. به لطف این باگ، مهاجمانی که تنها دسترسی‌های پایه‌ای و معمولی به پلتفرم Duo Agent دارند، می‌توانند روی سرور‌های آپدیت‌نشده، دستورات دلخواه خود را به اجرا دربیاورند.

«گیت‌لب مشکلی را در سرویس GitLab AI Gateway برطرف کرده است که در شرایطی خاص، به یک کاربر احرازهویت‌شده با دسترسی به پلتفرم Duo Agent اجازه می‌داد با دستکاری پیکربندی جریان کار، از محیط امن (سندباکس) قالب پرامپت فرار کند و در نهایت دستورات دلخواهش را روی AI Gateway به اجرا بگذارد.» این بخشی از توضیحاتی است که گیت‌لب در بیانیه امنیتی خود منتشر کرده است.

برای رفع این خطر، گیت‌لب نسخه‌های ۱۹.۲.۴، ۱۹.۳.۲ و ۱۹.۴.۱ را برای کاربران نسخه سلف‌هاستد AI Gateway عرضه کرده است. خبر خوب اینکه کاربرانی که از نسخه ابری و مدیریت‌شده گیت‌لب استفاده می‌کنند نیازی به نگرانی یا اقدام خاصی ندارند، چرا که این بخش قبلاً به‌طور خودکار ایمن‌سازی شده است.

گیت‌لب در ادامه تاکید کرده است: «این نسخه‌ها شامل یک وصله امنیتی حیاتی برای نسخه سلف‌هاستد GitLab AI Gateway هستند و ما قویاً به تمام مشتریانی که این سرویس را روی سرور‌های خود میزبانی می‌کنند توصیه می‌کنیم بلافاصله سیستم‌هایشان را به یکی از این نسخه‌ها ارتقا دهند. ما حتی پیش از انتشار عمومی این اطلاعیه، مستقیماً با مشتریان این سرویس تماس گرفتیم تا این راهنمایی‌ها را به دستشان برسانیم.»

این غول نرم‌افزاری همچنین یادآور شد که پیش از اعلام عمومی ماجرا، هشدارهای لازم را به گوش دارندگان سرور‌های شخصی رسانده و بار دیگر از کاربران خواسته هرچه سریع‌تر برای ارتقای سیستم‌های آسیب‌پذیر اقدام کنند.

جالب است بدانید ماه گذشته هم گیت‌لب یک آسیب‌پذیری فوق‌العاده جدی و بحرانی از نوع پیمایش مسیر (Path Traversal با شناسه CVE-2026-85706) را در نسخه‌های Community Edition و Enterprise Edition وصله کرد؛ باگی خطرناک که به مهاجمان ناشناس و بدون نیاز به ورود به سیستم اجازه می‌داد اطلاعات حساسی مثل نام‌های کاربری، رمزهای عبور و توکن‌های محرمانه را از سرور‌ها به سرقت ببرند.

تنها یک روز پس از آن ماجرا، آژانس امنیت سایبری و امنیت زیرساخت آمریکا (CISA) این آسیب‌پذیری را به فهرست رخنه‌های امنیتی تحت حمله فعال خود اضافه کرد و طبق یک دستورالعمل عملیاتی الزام‌آور، به آژانس‌های فدرال فقط سه روز فرصت داد تا سیستم‌هایشان را در برابر حملات ایمن کنند.

از نوامبر سال ۲۰۲۱ تا به امروز، آژانس CISA تاکنون پنج آسیب‌پذیری گیت‌لب را نشانه‌گذاری کرده که در دنیای واقعی مورد سوءاستفاده هکرها قرار گرفته‌اند؛ از جمله رخنه‌ای که گروه‌های باج‌افزاری از آن برای نفوذ استفاده می‌کردند.

پلتفرم DevSecOps گیت‌لب بیش از ۳۰ میلیون کاربر ثبت‌نام‌شده دارد و جالب است بدانید بیش از ۵۰ درصد از ۱۰۰ شرکت برتر فهرست فورچون (Fortune 100) از جمله انویدیا (Nvidia)، لاکهید مارتین، تی‌موبایل، گلدمن ساکس، ایرباس و یوبی‌اس (UBS) از خدمات آن برای توسعه نرم‌افزارهای خود استفاده می‌کنند.