심각한 GitLab AI Gateway 취약점 (CVE-2026-90970): 명령어 실행 위험

GitLab은 AI Gateway의 자체 호스팅 배포판에 영향을 미치는 중요 취약점 CVE-2026-90970 (CVSS v3.1 점수 9.9)을 해결하기 위해 긴급 보안 패치를 발표했습니다.

기술적 취약점 분석

이 결함은 템플릿 엔진에서 사용되는 특수 요소의 부적절한 무효화(improper neutralization of special elements used in template engines)(CWE-1336)에서 비롯됩니다. 관리자 또는 승인된 사용자가 자체 호스팅 AI Gateway 설치본 내에서 사용자 지정 프롬프트 플로우 템플릿을 정의할 때, 입력 문자열이 엄격한 샌드박싱(sandboxing) 없이 파싱되었습니다.

주요 위험 매개변수:

• 식별자: CVE-2026-90970
• 심각도 등급: CVSS 9.9 (Critical)
• 취약점 분류: 코드 생성의 부적절한 제어 / 템플릿 주입(Template Injection) (CWE-1336)
• 영향: AI Gateway를 호스팅하는 컨테이너 환경 내에서의 임의 명령어 실행(Arbitrary Command Execution)
• 범위: 사용자 지정 플로우 프롬프트 정의를 실행하는 자체 호스팅 GitLab AI Gateway 배포판. GitLab 관리형 SaaS 인스턴스는 이 실행 벡터에 노출되지 않았습니다.

해결 및 완화 방안

온프레미스 환경에서 GitLab AI Gateway를 호스팅하는 조직은 즉시 인스턴스를 최신 벤더 릴리스로 업그레이드해야 합니다. 상세한 단계별 해결 방법, 컨테이너 격리 절차 및 탐지 지표는 다음을 참고하십시오:

CyberUpdates365: CVE-2026-90970 GitLab AI Gateway Critical Flaw에서 전체 기술 분석을 읽으십시오.

AI Cyber Threats & Agentic Security Architecture Hub에서 새로운 AI 보안 위험에 대한 포괄적인 분석을 살펴보십시오.