GitLab warns of critical RCE vulnerability in AI Gateway service

GitLab ha emi­ti­do una ad­ver­ten­cia para que los usua­rios ins­ta­len de in­me­dia­to un par­che que so­lu­cio­na una vul­ne­ra­bi­li­dad crí­ti­ca pre­sen­te en su ser­vi­cio AI Ga­te­way, la cual per­mi­ti­ría la eje­cu­ción de co­man­dos ar­bi­tra­rios en ins­ta­la­cio­nes afec­ta­das. Este com­po­nen­te brin­da ac­ce­so a ca­pa­ci­da­des na­ti­vas de in­te­li­gen­cia ar­ti­fi­cial y puede con­fi­gu­rar­se me­dian­te des­plie­gues pro­pios en ser­vi­do­res au­to­ges­tio­na­dos.

El fallo de se­gu­ri­dad, re­gis­tra­do bajo un có­di­go es­pe­cí­fi­co, surge de una de­bi­li­dad por la falta de neu­tra­li­za­ción ade­cua­da que po­si­bi­li­ta a usua­rios con pri­vi­le­gios bá­si­cos y ac­ce­so a la pla­ta­for­ma elu­dir el en­torno ais­la­do de las plan­ti­llas de co­man­dos me­dian­te flu­jos ma­ni­pu­la­dos. Para so­lu­cio­nar este pro­ble­ma en las im­ple­men­ta­cio­nes pro­pias, se lan­za­ron nue­vas ver­sio­nes, mien­tras que los usua­rios que em­plean la in­fra­es­truc­tu­ra ges­tio­na­da por la pro­pia em­pre­sa ya se en­cuen­tran pro­te­gi­dos.

Ade­más de este caso, el mes pa­sa­do se co­rri­gió otra vul­ne­ra­bi­li­dad grave re­la­cio­na­da con el re­co­rri­do de rutas en edi­cio­nes co­mu­ni­ta­rias y em­pre­sa­ria­les de la pla­ta­for­ma, la cual per­mi­tía la lec­tu­ra de in­for­ma­ción con­fi­den­cial. Tras dicho des­cu­bri­mien­to, una agen­cia fe­de­ral es­ta­dou­ni­den­se in­cor­po­ró el fallo a su ca­tá­lo­go de vul­ne­ra­bi­li­da­des ex­plo­ta­das ac­ti­va­men­te y es­ta­ble­ció un plazo pe­ren­to­rio para que las agen­cias gu­ber­na­men­ta­les pro­te­gie­ran sus sis­te­mas.