Kurzfassung
GitLab hat für das Self-Hosted AI Gateway die Versionen 19.2.4, 19.3.2 und 19.4.1 veröffentlicht. Sie beheben eine als kritisch eingestufte Schwachstelle, über die ein authentifizierter Nutzer unter bestimmten Bedingungen Befehle auf dem AI Gateway ausführen konnte. Handlungsbedarf besteht für selbst betriebene AI-Gateway-Installationen; GitLab.com, GitLab Dedicated und selbst verwaltete Instanzen mit gehostetem AI Gateway sind laut GitLab bereits geschützt.
Was ist passiert?
Betroffen ist das GitLab Self-Hosted AI Gateway. GitLab hat dort eine Sicherheitslücke in einer benutzerdefinierten Flow-Konfiguration behoben. Nach Herstellerangaben konnte ein angemeldeter Nutzer mit Zugriff auf die Duo Agent Platform die Abschottung der Prompt-Vorlage verlassen und dadurch Code beziehungsweise Systembefehle auf dem AI Gateway ausführen.
Der Hersteller empfiehlt allen Kunden mit selbst gehostetem AI Gateway die sofortige Aktualisierung auf eine abgesicherte Version. Für GitLab-gehostete AI Gateways wurde die Korrektur bereits eingespielt, sodass Kunden auf GitLab.com, GitLab Dedicated sowie Self-Managed-Umgebungen mit GitLab-hosted AI Gateway nichts unternehmen müssen.
Technische Details
Die Schwachstelle wird unter CVE-2026-90970 geführt. GitLab beschreibt das Problem als fehlerhafte Neutralisierung innerhalb einer benutzerdefinierten Prompt-Template-Verarbeitung. Unter bestimmten Bedingungen war damit ein Ausbruch aus der vorgesehenen Sandbox möglich, was in beliebiger Befehlsausführung auf dem AI Gateway enden konnte.
Nach Herstellerangaben sind folgende Versionen betroffen: alle Versionen ab 18.1.6 vor 19.2.4, die Reihe 19.3 vor 19.3.2 sowie die Reihe 19.4 vor 19.4.1. GitLab stuft die Lücke als kritisch ein und nennt dafür CVSS 9.9 mit dem Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. NVD hat noch keinen CVSS-Wert vergeben.
Wer ist betroffen?
Relevant ist das Thema für Unternehmen, die GitLab Self-Managed einsetzen und zusätzlich ein Self-Hosted AI Gateway betreiben. In DACH-Umgebungen dürfte das vor allem Organisationen betreffen, die GitLab Duo oder darauf aufbauende KI-Funktionen aus Compliance-, Datenschutz- oder Integrationsgründen im eigenen Betrieb nutzen.
Nicht betroffen sind laut GitLab folgende Szenarien: GitLab.com, GitLab Dedicated sowie GitLab Self-Managed, wenn das AI Gateway nicht selbst betrieben, sondern von GitLab gehostet wird. Für klassische GitLab-Installationen ohne Self-Hosted AI Gateway spielt diese Meldung keine unmittelbare Rolle.
Empfohlene Maßnahmen
1. Sofort Version prüfen. Stellen Sie fest, ob in Ihrer Umgebung überhaupt ein GitLab Self-Hosted AI Gateway aktiv ist. Viele Teams betreiben GitLab Self-Managed, aber kein eigenes AI Gateway. In diesem Fall besteht aus dieser Meldung heraus kein akuter Handlungsbedarf.
2. Betroffene Installationen umgehend aktualisieren. Wechseln Sie auf 19.2.4, 19.3.2 oder 19.4.1. Offizielle Details und Hinweise zum Update stellt GitLab hier bereit: GitLab Patch-Hinweis zum AI Gateway.
3. Zugriff auf Duo Agent Platform kurzfristig eingrenzen. Bis das Update überall eingespielt ist, sollten Sie den Kreis berechtigter Nutzer möglichst klein halten. Da für die Ausnutzung eine Authentifizierung und entsprechender Plattformzugriff nötig sind, senkt das das Risiko unmittelbar.
4. Logs und Prozessspuren prüfen. Sichten Sie Protokolle des AI Gateways auf auffällige Flow-Konfigurationen, unerwartete Prozessstarts und verdächtige Shell-Aufrufe. Besonders wichtig ist das, wenn viele Nutzer mit KI-Workflows experimentieren oder wenn Flow-Definitionen in größerem Umfang angepasst werden.
5. Segmentierung und Geheimnisse kontrollieren. Prüfen Sie, welche Systeme das AI Gateway erreichen kann und welche Zugangsdaten dort hinterlegt sind. Bei einer erfolgreichen Befehlsausführung entscheidet genau das über den tatsächlichen Schaden.
Einschätzung von CyberSecurity-News.de
Die Relevanz ist hoch, aber nicht breit. Für die meisten Leser ist das kein Massenproblem, weil nur selbst gehostete AI-Gateway-Installationen betroffen sind. Wer diese Komponente jedoch produktiv einsetzt, sollte die Meldung sehr ernst nehmen: Netzwerkbasierte Ausnutzung, niedrige Komplexität und mögliche Befehlsausführung auf einer KI-nahen Infrastruktur sind eine gefährliche Kombination.
Positiv ist, dass GitLab klar zwischen betroffenen und nicht betroffenen Betriebsmodellen trennt. Das hilft Admins bei der schnellen Einordnung. Weniger hilfreich ist, dass Sicherheitsmeldungen rund um Zusatzkomponenten wie AI Gateway in manchen Umgebungen leicht übersehen werden, weil Teams primär auf Kernkomponenten von GitLab achten. Genau dort liegt jetzt das operative Risiko.
Fazit
Wenn Sie ein GitLab Self-Hosted AI Gateway betreiben, sollte das Update auf 19.2.4, 19.3.2 oder 19.4.1 priorisiert in das nächste Wartungsfenster – idealerweise sofort. Wer kein selbst gehostetes AI Gateway nutzt, muss aus heutiger Sicht nicht reagieren, sollte die eigene Betriebsform aber einmal sauber verifizieren.
Quellenangabe
Weiterführende Informationen und der offizielle Patch-Hinweis von GitLab: https://docs.gitlab.com/releases/patches/other-patches/patch-release-gitlab-ai-gateway-19-4-1-released/
