🇰🇷 한글 설명
GitLab AI Gateway 구성 요소에서 인증된 사용자가 조작된 모델 메타데이터를 통해 모델 요청을 외부 엔드포인트로 리다이렉트할 수 있는 취약점이 발견되었습니다. 이로 인해 Google Vertex AI 또는 AWS Bedrock 클라우드 서비스의 자격 증명이 유출될 위험이 있습니다.
💡 쉬운 설명
권한이 있는 사용자가 AI 모델에게 가짜 주소를 알려주어, 중요한 클라우드 접속 정보를 외부로 몰래 빼돌릴 수 있는 문제입니다. 이 공격이 성공하면 회사의 클라우드 서비스 계정 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
GitLab has remediated a vulnerability in the GitLab AI Gateway component affecting all versions of the AI Gateway from 18.9.0 to 19.0.12, 19.1 to 19.1.7, and 19.2 to 19.2.2 that could have allowed an authenticated user with Duo Agent Platform access to redirect model requests to an externally-controlled endpoint via crafted model metadata, resulting in the disclosure of Google Vertex AI or AWS Bedrock cloud service credentials.
📍 영향받는 시스템
GitLab AI Gateway 18.9.0-19.0.12, 19.1-19.1.7, 19.2-19.2.2
⚔️ 공격 벡터
Duo Agent Platform 권한을 가진 사용자가 조작된 모델 메타데이터를 사용하여 요청을 외부로 리다이렉트함
🛡️ 대응 방법
GitLab AI Gateway를 취약점이 해결된 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약한 범위(18.9.0~19.0.12, 19.1~19.1.7, 19.2~19.2.2)에 포함되는지 확인하십시오.
gitlab-ai-gateway --version 2>/dev/null || gitlab-rails runner 'puts Gitlab::Version.current' 2>/dev/null
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N
💻 영향받는 소프트웨어
VMware Telco Cloud Platform