هشدار امنیتی گیت‌لب: وصله فوری برای حفره بحرانی در درگاه هوش مصنوعی

گیت‌لب به‌تازگی یک حفره امنیتی بسیار خطرناک با امتیاز ۹.۹ از ۱۰ را در سرویس «درگاه هوش مصنوعی» (AI Gateway) خود شناسایی و وصله کرده است. این آسیب‌پذیری که با شناسه CVE-2026-90970 ثبت شده، به مهاجمان اجازه می‌دهد با سوءاستفاده از تنظیمات خاص در جریان‌های کاری هوش مصنوعی، از محیط ایزوله خارج شده و دستورات مخرب خود را مستقیماً روی سرور اجرا کنند. این نقص امنیتی به‌طور مشخص پلتفرم Duo Agent را هدف قرار می‌دهد و به دلیل ماهیت دسترسی‌های این سرویس، تهدیدی جدی برای زیرساخت‌های سازمانی محسوب می‌شود.

نکته مهم برای مدیران سیستم این است که این مشکل تنها سازمان‌هایی را تهدید می‌کند که از درگاه هوش مصنوعی به‌صورت خودمیزبان (Self-hosted) استفاده می‌کنند. کاربرانی که از سرویس‌های ابری گیت‌لب یا نسخه‌های مدیریت‌شده توسط خود شرکت استفاده می‌کنند، نیازی به اقدام خاصی ندارند، چرا که گیت‌لب پیش‌تر این وصله‌ها را در محیط‌های تحت کنترل خود اعمال کرده است. با این حال، برای سازمان‌هایی که برای حفظ حریم خصوصی داده‌های خود، درگاه را در زیرساخت شخصی مستقر کرده‌اند، به‌روزرسانی فوری به نسخه‌های ۱۸.۱.۶، ۱۹.۲.۴، ۱۹.۳.۲ یا ۱۹.۴.۱ الزامی است.

این دومین بار در سال جاری است که گیت‌لب با چنین حفره امنیتی بحرانی در بخش درگاه هوش مصنوعی خود مواجه می‌شود. شباهت ساختاری این نقص با مورد مشابهی که در ماه فوریه گزارش شده بود، نشان‌دهنده چالش‌های امنیتی در موتورهای پردازش قالب (Template Engine) این پلتفرم است. اگرچه تاکنون گزارشی از بهره‌برداری فعال از این حفره در حملات سایبری منتشر نشده، اما با توجه به سطح دسترسی بالای این درگاه به کلیدهای امنیتی و ارتباط مستقیم با مدل‌های هوش مصنوعی، تأخیر در به‌روزرسانی می‌تواند پیامدهای جبران‌ناپذیری برای امنیت داده‌های حساس سازمان‌ها داشته باشد.

منبع: The Hacker News — مطلب اصلی را اینجا بخوانید