GitLab AI Gatewayのプロンプトテンプレートのサンドボックス回避
- タグ
- 国外
GitLabの2026年10月2日の告知では、自己ホスト型のGitLab AI Gatewayの脆弱性CVE-2026-90970により、Duo Agent Platformへのアクセス権を持つ認証済みユーザーが、特定の条件の下でAI Gateway上での任意のコマンドの実行に至ることがあった［1］。GitLabがホストするAI Gatewayには修正を適用済みとした［1］。
脆弱性の内容
GitLabの説明では、コマンドの実行は、細工したフロー設定でプロンプトテンプレートのサンドボックスを回避することで起こりえた［1］。
| 項目 | 値 | 資料 |
|---|---|---|
| 告知の修正の表の題 | Improper Neutralization issue in custom flow prompt template impacts AI Gateway | ［1］ |
| 重大度 | Critical | ［1］ |
| CVSS 3.1（GitLab） | 9.9（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H） | ［1、3］ |
| CWE | CWE-1336 | ［2］ |
| 発見の経緯 | 報告者からの責任ある開示 | ［1］ |
開発元の文書によると、AI GatewayはAI Gateway serviceとGitLab Duo Agent Platform serviceの2つのサービスの組み合わせである［9］。脆弱性の題にあるcustom flowsは、GitLabのプロジェクトをまたぐ複雑な多段の作業を自動化するために、利用者が作って設定するAIのワークフローだと説明している［10］。custom flowsはGitLab 18.4でexperimentとして導入され、18.7でbetaになった［10］。GitLab Self-ManagedとGitLab Dedicatedでは18.8で有効になった［10］。
GitLabが先に修正した別の脆弱性CVE-2026-1868は、細工したDuo Agent PlatformのFlow定義を通じて、利用者が入力したデータのテンプレート展開が安全でなかった［8］。GitLabのインスタンスへの認証済みのアクセスを要し、サービス妨害かGateway上のコード実行に使われうるものだった［8］。CVSSは同じベクトルの9.9で、GitLabの社員が社内で見つけた［8］。The Hacker Newsは、2件はともにテンプレートエンジンの同じ類型の弱点CWE-1336に当たると報じた［6］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | GitLab | Duo Agent Platformの一般提供を発表し、GitLab Self-Managedの導入で自己ホストのモデルを使えるとした | ［11］ |
| 2026年 | GitLab | AI Gatewayの別の脆弱性CVE-2026-1868を修正した版を公開した | ［8］ |
| 2026年 | - | CVE番号が予約された | ［2］ |
| 2026年 | GitLab | AI Gatewayの修正版と告知を公開し、CNAとしてCVE記録を公開した | ［1、2］ |
| 2026年 | NVD | 記録を公開した | ［3］ |
| 2026年 | CISA | CVE記録にSSVCの評価を追記した | ［2］ |
| 2026年 | JPCERT/CC | Weekly Reportで「GitLab AI Gatewayに任意のコマンド実行の脆弱性」を取り上げた | ［4］ |
| 2026年 | IPA | AIセキュリティ短信2026年10月号にこの脆弱性の項を載せた | ［5］ |
対象の製品と版
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| GitLab AI Gateway | 18.1.6以降、19.2.4未満の全て | 19.2.4 | ［1］ |
| GitLab AI Gateway | 19.3系の19.3.2未満 | 19.3.2 | ［1］ |
| GitLab AI Gateway | 19.4系の19.4.1未満 | 19.4.1 | ［1］ |
GitLabは告知で、GitLab.com・GitLab Dedicatedの顧客と、GitLabがホストするAI Gatewayを使うGitLab Self-Managedの顧客は保護されており、対応は不要とした［1］。The Hacker Newsは、GitLabの10月2日の保守方針でセキュリティ修正の対象になる系列は19.4・19.3・19.2で、AI Gatewayの修正の3系列と同じだと報じた［6］。
悪用の状況
CISAはCVE記録に追記したSSVCの評価で、Exploitationをnone、Automatableをno、Technical Impactをtotalとした［2］。IPAの短信は、「悪用の有無と KEV 登録に関する記述は本稿執筆時点で確認されていない」と書いた［5］。
修正と回避策
GitLabは、自己ホスト型のAI Gatewayを導入した全てのGitLab Self-Managedの顧客に、直ちに修正版のいずれかへ更新するよう強く勧めた［1］。告知の掲載前に、自己ホスト型の顧客へ同じ案内を個別に連絡していた［1］。更新の手順はインストールの文書を参照するよう案内した［1］。
GitLabはインストールの文書で、AI Gatewayの更新はGitLabの版に合うtagのDockerイメージを取得して行うと説明している［9］。JPCERT/CCはWeekly Reportで、この問題は修正済みの版に更新することで解決するとした［4］。
未公表の事項
- 「特定の条件」の中身と、サンドボックスの回避に使うフロー設定の形
- 18.1.6から19.1系までのAI Gatewayの修正版の有無と予定
- 更新できないAI Gatewayの回避策
- 更新の前に攻撃を受けたかを確かめる方法
- CVE-2026-1868との原因の関係
出典
当事者
- ［1］GitLab Inc.『GitLab AI Gateway Critical Patch Release: 19.2.4, 19.3.2, and 19.4.1』（2026年10月2日公開）
公的機関
- ［2］CVE Program『CVE-2026-90970: Improper Neutralization of Special Elements Used in a Template Engine in GitLab AI Gateway』（2026年10月2日公開）
- ［3］National Vulnerability Database『CVE-2026-90970』（2026年10月2日公開）
- ［4］一般社団法人JPCERTコーディネーションセンター『JPCERT/CC Weekly Report 2026-10-15号【16】GitLab AI Gatewayに任意のコマンド実行の脆弱性』（2026年10月15日公開）
- ［5］独立行政法人情報処理推進機構『AIセキュリティ短信 2026年10月号（1.10 [2026-10-03] GitLab AI Gateway にコマンド実行の脆弱性）』（2026年10月16日公開、PDF）
報道機関
- ［6］The Hacker News『GitLab Patches Critical 9.9 AI Gateway Flaw Allowing Command Execution on Self-Hosted Servers』（2026年10月2日公開）
背景資料
- ［8］GitLab Inc.『GitLab AI Gateway Critical Patch Release: 18.6.2, 18.7.1, and 18.8.1』（2026年2月6日公開）
- ［9］GitLab Inc.『Self-hosted AI Gateway（install documentation）』（公開日不明、2026年11月7日閲覧）
- ［10］GitLab Inc.『Custom flows』（公開日不明、2026年11月7日閲覧）
- ［11］GitLab Inc.『GitLab Announces the General Availability of GitLab Duo Agent Platform』（2026年1月15日公開）
更新記録
- 2026年10月4日：公開した。
- 2026年10月15日：JPCERT/CCのWeekly Report 2026-10-15号（出典4）を加え、「時系列」と「修正と回避策」を改めた。
- 2026年10月16日：IPAのAIセキュリティ短信2026年10月号（出典5）を加え、「時系列」と「悪用の状況」を改めた。