🇰🇷 한글 설명
GitLab AI Gateway의 Duo Workflow Service 컴포넌트에서 사용자 입력 데이터의 부정확한 템플릿 확장으로 인한 취약점입니다. 공격자가 악의적인 Duo Agent Platform Flow 정의를 통해 서비스 거부(DoS) 또는 코드 실행을 달성할 수 있습니다.
💡 쉬운 설명
GitLab의 AI 도움말 서비스에서 사용자가 입력한 데이터를 안전하지 않게 처리하여, 악의적인 명령을 실행할 수 있게 되었습니다. 버전 18.6.2, 18.7.1, 18.8.1 이상으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
GitLab has remediated a vulnerability in the Duo Workflow Service component of GitLab AI Gateway affecting all versions of the AI Gateway from 18.1.6, 18.2.6, 18.3.1 to 18.6.1, 18.7.0, and 18.8.0 in which AI Gateway was vulnerable to insecure template expansion of user supplied data via crafted Duo Agent Platform Flow definitions. This vulnerability could be used to cause Denial of Service or gain code execution on the Gateway. This has been fixed in versions 18.6.2, 18.7.1, and 18.8.1 of the GitLab AI Gateway.
📍 영향받는 시스템
GitLab AI Gateway 18.1.6~18.8.0 (18.6.2, 18.7.1, 18.8.1 미만)
⚔️ 공격 벡터
공격자가 악의적으로 구성된 Duo Agent Platform Flow 정의를 제출하여 템플릿 주입(Template Injection) 공격 실행
🛡️ 대응 방법
GitLab AI Gateway를 18.6.2, 18.7.1, 또는 18.8.1 이상의 버전으로 즉시 업데이트
🔧 검증 코드
반환된 버전 번호가 18.6.2, 18.7.1, 18.8.1 이상이면 패치됨; 그 이하면 즉시 업그레이드 필요
curl -s http://localhost:8080/health 2>/dev/null | grep -oP '"version":\s*"\K[^"]+' || grep -r 'VERSION\|version' /opt/gitlab-ai-gateway/ 2>/dev/null | head -1