🇰🇷 한글 설명
GitLab AI Gateway의 취약점으로 인해 Duo Agent Platform 권한을 가진 인증된 사용자가 인라인 흐름 설정을 조작하여 외부 엔드포인트로 모델 요청을 리다이렉트할 수 있습니다. 이 과정에서 HTTP Host 헤더가 덮어씌워지며 Google Cloud Vertex 서비스 자격 증명 및 개인 서명 키가 유출될 위험이 있습니다.
💡 쉬운 설명
권한이 있는 사용자가 설정을 조작해 AI 서비스로 가는 데이터를 가짜 사이트로 가로챌 수 있는 문제입니다. 이 과정에서 중요한 클라우드 접속 정보와 보안 키가 해커에게 넘어갈 수 있습니다.
🇺🇸 원문 (English)
GitLab has remediated a vulnerability in the GitLab AI Gateway component affecting all versions of the AI Gateway from 18.10 to 19.0.12, 19.1 to 19.1.7, and 19.2 to 19.2.2 that could have allowed an authenticated user with Duo Agent Platform access to redirect outbound model requests to an externally-controlled endpoint via a crafted inline flow configuration that overrides the HTTP Host header, resulting in disclosure of Google Cloud Vertex cloud service credentials and private signing keys.
📍 영향받는 시스템
GitLab AI Gateway 18.10~19.0.12, 19.1~19.1.7, 19.2~19.2.2
⚔️ 공격 벡터
Duo Agent Platform 권한을 이용한 인라인 흐름 구성 조작 및 HTTP Host 헤더 변조
🛡️ 대응 방법
GitLab AI Gateway를 취약점이 해결된 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 AI Gateway의 버전을 확인하여 취약한 버전 범위에 포함되는지 대조하십시오.
gitlab-ai-gateway --version 2>/dev/null || gitlab-ctl status ai-gateway
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N
💻 영향받는 소프트웨어
VMware Telco Cloud Platform