LiteLLM-Benachrichtigung exponiert: drei kritische CVE zeigen die Fragilität des mutierbaren Vertrauens

Die Kette von Fehlern, die von Obsidian Security gegen LiteLLM gemeldet werden, ist eine harte Erinnerung daran, wie Designentscheidungen, abwesende Validierungen und einzigartige Kontrollpunkte ein niedriges Privileg-Konto in vollen Zugriff auf den Server verwandeln können. LiteLLM fungiert als Gateway für mehr als 100 Modelllieferanten und verarbeitet in vielen Einsatzbereichen Aufforderungen, Antworten und sensible Schlüssel, daher ist die Exposition proportional ernst: Lieferantenschlüssel Diebstahl, Anmeldeinformationen Verschlüsselungssalz, Datenbank-URL und Fähigkeit, Antworten auf Agenten und Benutzer zu ändern.

Die Operation Routenkette drei kritische CVE: CVE-2026-47101 ermöglicht es Ihnen, die Genehmigung zu überspringen, indem Sie akzeptieren, ohne einen Anrufer / aktualisiertes Feld zu validieren; und CVE-2026-47217 ist ein Sandkasten Leck in der benutzerdefinierten Code Guard, der Python Code mit exec (und endet aus _ Import _ oder _ Import _ Systeme. Obsidian qualifiziert die komplette Kette in CVSS 9.9, und BerriAI veröffentlichte die komplette Reihe von Patches in der Version v1.83.14-Tabelle, aufgeführt in GitHub, wie am 2. Mai veröffentlicht; Aktualisierung auf diese Version oder später ist die erste und dringendste Aktion. Siehe das offizielle Repository: GitHub - LiteLLM v1.83.14-stabil und der Hinweis des Forschers auf der Sicherheits-Website für den allgemeinen Kontext: Obsidische Sicherheit.

Über die technische Explosion hinaus zeigt die Geometrie des Angriffs eine klassische Lektion: Mutable Vertrauen in verschiedene Schichten. Der Proxy akzeptierte eine Client-Diktierte Zugangsroute und dann der Rest des Codes angenommen, dass die Routing-Tür hatte alle Filterung. Dieses gekettete Vertrauen ist das, das einen relativ einfachen Ausfall in der virtuellen Schlüsselverwaltung erlaubte, Remote-Server-Steuerung zu werden.

Die operative Folge ist doppelt und gefährlich. Zum einen kann ein Angreifer, der die Kette erreicht, alles lesen, was durch das Gateway geht, einschließlich PII, Codefragmente und Geheimnisse, die Benutzer an Aufforderungen halten. Auf der anderen Seite und vielleicht subtiler, aber von autonomen Agenten ausnutzbarer, kann der Angreifer Änderung der Versandantworten und machen Sie einen Agenten oder einen automatisierten Fluss schädliche Aktionen, ohne dass das Modell durch eine schnelle Injektion manipuliert wird: Das Gateway kann Werkzeuganrufe schmieden und den Sicherheitskontext mit internen Rückrufen neu schreiben, die nicht in der IU erscheinen.

Es gibt auch unabhängige Vektoren, die das Risiko verschlimmern: Die Unterstützung von LiteLLM Model Context Protocol (MCP) ermöglicht einen Proxy _ admin, lokale Stdio-Server zu registrieren, die der Proxy als Subprozesse startet - eine Designentscheidung, die impliziert, dass haben Proxy _ Admin-Rolle ist in der Praxis gleichwertig mit der Fähigkeit, Code auf der Maschine auszuführen. Eine andere CVE, CVE-2026-42271, beeinflusste die Vorschau von MCP und wurde bereits in tatsächlichen Betrieben beobachtet und im CSA-Katalog aufgeführt für aktiv genutzte Schwachstellen; es lohnt sich, im bekannten CSA-Katalog zu konsultieren: CISA KEV.

Was sollten die Verantwortlichen für unten und Sicherheit jetzt tun? Die Antwort beginnt mit dem Update: Parkplatz auf v1.83.14-Tisch oder höher sofort. Nach der Anwendung der Korrektur reicht es nicht aus, das Loch zu schließen: Es muss davon ausgegangen werden, dass jede verübte Instanz Zugang zu Schlüsseln und Daten im Transit haben könnte, so dass die folgende Maßnahme eine Prüfung und Rotation von Geheimnissen ist.

Prüfung und Behandlung der Proxy _ Admin-Rolle als Host-Level-Zugang: Revaluieren Sie jedes Konto mit dieser Rolle, schließen Sie veralteten Konten und erfordern eine starke und just-in-time Authentifizierung, wo immer möglich. Überprüfen Sie alle benutzerdefinierten Code Guards und suchen Sie nach verdächtigen Payloads; denken Sie daran, dass die Callbacks in der Konfiguration (z.B. litellm _ settings.callbacks) nicht auf der Konsole erscheinen und sind ein logischer Ort, wo ein Post-Exploitation Angreifer Beharrlichkeit oder Fallen verbergen würde. Überprüfen Sie auch die Integrität des Codes vor der Quelle in Git angezeigt und signiert Release hashes: nicht nur der Konfiguration vertrauen.

Wenn Sie das Engagement vermuten, drehen Sie sofort alle Lieferantenschlüssel (OpenAI, Anthropic, Gemini, Bedrock, Azure, etc.), ändern Sie die Salz- und Datenbank-Anmeldeinformationen und MCP-Tokens; denken Sie, dass die Schlüssel in Konfigurationsdateien oder Umgebungsvariablen in klaren Text gelesen worden sein könnten. Aktivieren Sie die Erkennung von Log- und Traffic-Anomalien: Spitzen von Anfragen an administrative Endpunkte, Änderungen in Benutzerfeldern, Erstellung von virtuellen Schlüsseln mit großen _ Routs oder neue Callbacks sind Verpflichtungsindikatoren.

In der betriebs- und mittelfristigen Architektur, denken Sie an den Standort dieser Art von kritischem Gateway und sein Vertrauensmodell: minimieren Sie die Menge an sensiblen Daten, die durch einen einzigen Punkt, segregate Netzwerke und Rollen, verwenden externe und verschlüsselte geheime Manager mit Trennung von Funktionen, so dass das Gateway nicht direkten Zugriff auf Master-Tasten sind Maßnahmen, die den Strahlradius reduzieren. Außerdem sollten Code-Ausführungsregeln (Garrails) mit Standard-Sicherheitsmodellen, Bytecode-Level-Filtern und nicht nur Regex, und vermeiden Sie direkte Exec () mit unvollständigen Globalen.

Es ist auch an der Zeit, die Lieferkette und den Aktualisierungsprozess zu überprüfen: LiteLLM erlitt bereits im März Rücktürversuche in PyPI und eine im April explodierte SQL-Injektion, die zeigt, dass IA-Infrastrukturprojekte attraktive Ziele sind. Registrieren und verifizieren Sie Tarbals und Pakete, wenden Sie Unit-Scans an und verwenden Sie Versionssperren in produktiven Umgebungen.

Für Teams, die Betriebsmittel oder Modell-Gateways betreiben, muss dieser Vorfall die Bedrohungsmatrix ändern: ein engagiertes Gateway filtert nicht nur Daten, kann die Logik ändern, die die Agenten regelt. Betrachten Sie abschließende Kontrollen im Endpunkt, die die Integrität der Antworten vor der Umsetzung kritischer Handlungen validieren und eine klare Trennung zwischen sensiblen Daten und Aufforderungen, die auf produktive Systeme zugreifen.

Kurz gesagt: Aktualisieren Sie die geparched Version, Audit-Rollen und Callbacks, Protokolle, wenn es Belichtung und Neubewertung der vertrauenswürdigen Architektur, die einen einzigen Service im Zentrum des IA-Verkehrs. Das Scheitern ist nicht nur technisch: Es ist eine operative Lektion darüber, wie wir die Türen gestalten und verteidigen, die zwischen Menschen, Agenten und Modellen vermitteln.