Faille critique dans l'AI Gateway de GitLab : une exécution de commandes à distance sous conditions (CVE-2026-90970)

Le 2 octobre 2026, GitLab a publié un correctif pour une vulnérabilité notée 9,9 sur l’échelle CVSS, soit la note maximale possible pour une faille critique. Pourtant, seuls les utilisateurs hébergeant leur propre passerelle AI Gateway sont exposés. Cette nuance change la donne.

Dans un contexte où l’intelligence artificielle s’intègre de plus en plus dans les pipelines d’intégration continue et de déploiement continu (CI/CD), la passerelle AI Gateway de GitLab joue un rôle central. Elle permet aux instances GitLab de communiquer avec des modèles d’IA tels que GPT-4, Claude ou LLaMA. La faille CVE-2026-90970 pourrait permettre à un utilisateur authentifié disposant d’un accès à la plateforme Duo Agent d’exécuter des commandes sur la passerelle, compromettant potentiellement l’ensemble de l’infrastructure. Cet article détaille la nature de la faille, les versions concernées et les mesures de sécurité à appliquer sans délai.

Une vulnérabilité aux conséquences potentiellement graves

La faille CVE-2026-90970 touche le template d’invite d’un custom flow sur la Duo Agent Platform. Selon GitLab, un utilisateur connecté ayant accès à cette plateforme pouvait « s’échapper du sandbox du template d’invite via une configuration de flux spécialement conçue ». Cet échappement peut conduire à une exécution arbitraire de commandes sur la passerelle. En d’autres termes, un attaquant maîtrisant le flux pourrait prendre le contrôle du service gateway, compromiseant ainsi les clés JWT qui y sont stockées et les connexions aux modèles d’IA.

Cette vulnérabilité est classée critique avec un score CVSS de 9,9. La note est élevée car l’impact sur la confidentialité, l’intégrité et la disponibilité est total, même si l’attaque nécessite une authentification préalable. Le CWE associé est CWE-1336 (injection de template), un défaut bien connu dans les moteurs de templates. Ce n’est pas la première fois que GitLab corrige un tel défaut : en février 2026, la faille CVE-2026-1868, également notée 9,9, exploitait une faiblesse similaire dans un custom flow.

« La faille permet à un utilisateur disposant d’un accès à la plateforme Duo Agent d’exécuter des commandes sur la passerelle sous certaines conditions. » - Extrait de l’avis de sécurité GitLab.

Selon la CISA, aucune exploitation active n’a été signalée à ce jour (la valeur « exploitation » est renseignée comme « none » dans le registre CVE). Toutefois, la gravité du défaut justifie une mise à jour immédiate, d’autant que l’avis de GitLab n’écarte pas la possibilité d’une exploitation future.

Qui est concerné ? Les auto-hébergeurs de la passerelle AI

GitLab distingue clairement deux modes d’hébergement de l’AI Gateway :

• Passerelle hébergée par GitLab : utilisée par défaut sur GitLab.com, GitLab Dedicated et les instances self-managed qui ne modifient pas la configuration. Ces installations sont automatiquement mises à jour par GitLab et ne nécessitent aucune action de votre part.
• Passerelle auto-hébergée : option réservée aux clients souhaitant conserver les données des requêtes et réponses d’IA dans leur propre environnement (par exemple pour respecter le RGPD). Ces organisations doivent appliquer le correctif.

GitLab a envoyé un avertissement préalable à ses clients concernés avant la publication officielle. Si vous avez choisi d’héberger votre propre gateway, vous êtes directement concerné. Si vous utilisez GitLab.com ou une instance managée par GitLab, vous n’avez rien à faire.

Exemple concret : une PME française dans le secteur de la santé

Imaginons une société française développant des applications médicales. Pour protéger les données de santé, elle héberge sa propre gateway AI dans son infrastructure. Un employé disposant d’un accès à la Duo Agent Platform (peut-être un administrateur DevOps) pourrait, par malveillance ou à la suite d’un compte compromis, exploiter cette faille pour exécuter des commandes sur la gateway et accéder aux clés JWT. Conséquence : l’attaquant pourrait usurper l’identité de la gateway et intercepter les échanges avec les modèles d’IA. La mise à jour vers une version corrigée est donc cruciale.

Versions affectées et correctifs disponibles

Le correctif est fourni pour les versions suivantes de l’AI Gateway (le numéro de version diffère de celui de GitLab) :

Les versions antérieures à 18.1.6 ne sont pas listées ; il est fortement recommandé de mettre à jour au moins vers la version 19.2.4. Aucun correctif n’est prévu pour les branches 18.x et 19.1.x : seules les trois branches maintenues (19.2, 19.3, 19.4) ont reçu un correctif. GitLab conseille de mettre à niveau le gateway pour qu’il corresponde à la version mineure de l’instance GitLab (par exemple, utilisez l’image self-hosted-v19.4.1-ee pour un environnement 19.4).

« Les clients auto-hébergeants doivent appliquer le correctif immédiatement. Aucune solution de contournement n’est disponible. » - GitLab.

Détails techniques : un défaut dans le sandboxing des templates

La vulnérabilité se situe dans le moteur de templates utilisé par les custom flows de la Duo Agent Platform. Ces workflows automatisent des tâches multi-étapes assistées par l’IA. Le défaut permet de sortir du sandbox destiné à isoler les instructions du template. En élaborant une configuration de flux malveillante, un utilisateur autorisé peut injecter des commandes qui seront exécutées par le serveur gateway.

Les conséquences sont multiples :

• Exécution de commandes système sur le conteneur Docker hébergeant le gateway.
• Accès aux clés de signature JWT stockées localement, qui permettent de forger des tokens d’authentification pour d’autres services.
• Interception des communications entre GitLab et les modèles d’IA (OpenAI, Anthropic, etc.).
• Compromission potentielle de l’ensemble de l’infrastructure CI/CD si la gateway est utilisée comme point d’entrée vers d’autres systèmes.

Cette vulnérabilité s’inscrit dans une classe de faiblesses identifiée par la CWE-1336 (injection de template). GitLab a déjà corrigé un défaut similaire en février 2026 (CVE-2026-1868), ce qui souligne la difficulté de sécuriser correctement l’évaluation de templates dans un environnement multi-tenant. Les experts en sécurité recommandent d’appliquer un principe de défense en profondeur en limitant les accès à la Duo Agent Platform et en surveillant les logs du gateway.

Les précédents : une faille de même nature en février 2026

En février 2026, GitLab avait déjà corrigé une vulnérabilité de type sandbox escape dans les custom flows, référencée CVE-2026-1868, également notée 9,9. À l’époque, l’impact était similaire : un utilisateur authentifié pouvait exécuter des commandes sur la gateway via une configuration de flux malveillante. Cette répétition de faiblesses dans le même composant indique que le mécanisme de sandboxing des templates mérite une refonte plus profonde.

« La récurrence de ce type de vulnérabilité montre que les moteurs de templates exposés à des utilisateurs autorisés restent un point dur en sécurité. Une approche par confinement à plusieurs niveaux est indispensable. » - Note d’analyse d’un chercheur en sécurité.

Recommandations pour les équipes de sécurité

Si votre organisation héberge sa propre passerelle AI Gateway, suivez ces étapes sans délai :

1. Identifier la version : vérifiez la version de l’image Docker ou du chart Helm utilisé. Exécutez docker inspect <nom_image> | grep GITLAB_VERSION ou consultez le fichier de configuration.
2. Mettre à jour le gateway :
   • Pour un déploiement Docker : arrêtez le conteneur, supprimez-le, puis tirez la nouvelle image et relancez le conteneur avec la balise corrigée. Exemple :

     docker stop gitlab-ai-gateway
     docker rm gitlab-ai-gateway
     docker pull registry.gitlab.com/gitlab-org/ai-gateway:19.4.1
     docker run -d --name gitlab-ai-gateway ... registry.gitlab.com/gitlab-org/ai-gateway:19.4.1
     

   • Pour un déploiement Helm : mettez à jour la balise image dans le chart et appliquez le nouveau déploiement.
3. Vérifier les logs : après mise à jour, examinez les journaux du gateway pour détecter d’éventuelles tentatives d’exploitation antérieures. GitLab ne fournit pas d’indicateur de compromission spécifique, mais une analyse des logs d’accès à la Duo Agent Platform peut révéler des activités suspectes.
4. Restreindre les accès à la Duo Agent Platform : limitez les droits de création de custom flows aux utilisateurs de confiance. Mettez en place des revues de code et des tests de sécurité sur les flux personnalisés.
5. Segmenter le réseau : hébergez la passerelle dans un sous-réseau isolé avec des règles de pare-feu restrictives, et limitez la connectivité sortante aux seuls modèles d’IA nécessaires.
6. Renouveler les clés JWT : après la mise à jour, générez de nouvelles clés de signature JWT pour éviter qu’une éventuelle copie préexistante ne soit utilisée.
7. Surveiller les alertes : abonnez-vous aux bulletins de sécurité GitLab et aux flux CISA pour rester informé des nouvelles vulnérabilités.

Ces mesures s’inscrivent dans une démarche de durcissement recommandée par l’ANSSI et les guides de l’OWASP. L’AI Gateway devient un point critique de l’infrastructure DevOps ; sa sécurisation ne doit pas être négligée.

Conclusion : comment protéger votre infrastructure DevOps

La découverte de CVE-2026-90970 rappelle que les passerelles d’IA, même robustes, peuvent comporter des failles d’exécution de code. Avec un score CVSS de 9,9, ce défaut exige une correction urgente pour toute organisation qui auto-héberge son AI Gateway. Les clients de GitLab hébergé sont protégés par les mises à jour automatiques.

Au-delà du correctif immédiat, cette vulnérabilité doit inciter les équipes à réévaluer la surface d’attaque de leurs pipelines CI/CD. Les passerelles vers des modèles d’IA traitent des données sensibles et manipulent des jetons d’authentification ; elles méritent une attention particulière dans le plan de sécurité.

Nous vous recommandons de :

• Mettre à jour l’AI Gateway sans tarder vers la version corrigée (19.2.4, 19.3.2 ou 19.4.1).
• Documenter les accès à la Duo Agent Platform et révoquer les droits superflus.
• Planifier des audits réguliers de sécurité sur les composants liés à l’IA.
• Intégrer des tests de sécurité dans vos pipelines (analyse statique, fuzzing) pour détecter les failles de type injection de template.

En adoptant une approche proactive, vous réduirez le risque qu’une telle faille ne compromette l’intégrité de votre chaîne de développement logiciel. La sécurité de l’IA intégrée aux DevOps est un enjeu croissant ; restez informés via les bulletins de GitLab et les alertes de la CISA. La faille a été signalée par le chercheur invisiblemeerkat via la plateforme HackerOne, démontrant l’importance du bug bounty pour sécuriser les infrastructures critiques.