LiteLLM: Aktiv ausgenutzte Schwachstelle kann zum Maximalschaden eskalieren

Die US-Cybersicherheitsbehörde CISA hat die LiteLLM-Lücke CVE-2026-42271 am 8. Juni 2026 in ihren Katalog der aktiv ausgenutzten Schwachstellen aufgenommen. CVE bezeichnet ein standardisiertes Verzeichnis bekannter Sicherheitslücken. Der KEV-Katalog der CISA umfasst nur Schwachstellen, deren Ausnutzung belegt ist. Sicherheitsforscher von Horizon3.ai zeigen zudem, wie sich die Lücke zu einer Angriffskette mit dem Höchstwert CVSS 10,0 ausbauen lässt.

Zwei Test-Endpoints starten fremde Befehle

LiteLLM ist ein quelloffener Proxy, der Anwendungen mit verschiedenen KI-Modellanbietern verbindet und API-Schlüssel zentral verwaltet. Der Dienst war bereits Ziel eines Supply-Chain-Angriffs auf das gleichnamige Python-Paket. Die neue Schwachstelle mit dem Schweregrad 8,7 von 10 steckt in zwei Test-Endpoints für MCP-Server. MCP ist ein offenes Protokoll, über das KI-Systeme externe Werkzeuge ansteuern.

claw://SECURITY

LiteLLM kompromittiert: Supply-Chain-Angriff trifft Python-Paket mit 95 Millionen DownloadsDas Python-Paket LiteLLM wurde am 24. März 2026 über einen Supply-Chain-Angriff kompromittiert. Die Versionen 1.82.7 und 1.82.8 enthielten Schadcode, der SSH-Schlüssel, Cloud-Zugangsdaten, Kryptowallets und weitere…2. April 2026

Beide Endpoints akzeptierten eine komplette Server-Konfiguration samt Befehl, Argumenten und Umgebungsvariablen. LiteLLM führte den übergebenen Befehl anschließend als Subprozess direkt auf dem Host aus.

Anzeige

Starlette-Bypass macht den Login überflüssig

Ursprünglich galt die Schwachstelle als begrenzt, weil Angreifer einen gültigen API-Schlüssel für den Proxy benötigten. Horizon3.ai kombinierte sie jedoch mit CVE-2026-48710, einem Host-Header-Bypass im Python-Framework Starlette („BadHost“). Die Kette hebelt die Authentifizierung komplett aus und erlaubt Remote Code Execution ohne Anmeldedaten. Remote Code Execution bedeutet, dass Angreifer aus der Ferne beliebigen Code auf einem fremden System starten. Erfolgreiche Angriffe öffnen den Zugriff auf Provider-Zugangsdaten, gespeicherte API-Schlüssel und die angebundene KI-Infrastruktur.

claw://SECURITY

OpenClaw und die Sicherheitsfrage: Wie gefährlich ist ein KI-Agent mit Vollzugriff?Bei OpenClaw ist es möglich, dem KI-Agenten Vollzugriff auf den eigenen Rechner zu geben. Seit dem Start im Januar 2026 wurden bislang neun Sicherheitslücken offengelegt…17. März 2026

Der Patch lag fünf Wochen bereit

Betroffen sind die LiteLLM-Versionen 1.74.2 bis 1.83.6 in Kombination mit Starlette 1.0.0 oder älter. Der Fix liegt seit dem 8. Mai 2026 in Version 1.83.7 vor. Starlette ist ab 1.0.1 gefixt. Zwischen verfügbarem Patch und bestätigten Angriffen lagen damit rund fünf Wochen. Dieselbe Version 1.83.7 schloss auch die SQL-Injection-Lücke aus dem Mai 2026, die binnen 36 Stunden ausgenutzt wurde. Wer das Update damals eingespielt hat, ist gegen die neue Lücke bereits abgesichert.

claw://SECURITY

LiteLLM: Sicherheitslücke wird 36 Stunden nach Disclosure aktiv ausgenutztEine kritische Schwachstelle im LiteLLM-Proxy wird laut Sysdig aktiv ausgenutzt. Das Sicherheitsunternehmen registrierte den ersten Angriff 36 Stunden und sieben Minuten nach Indexierung der Schwachstelle…1. Mai 2026

Der Fall reiht sich in eine Serie kritischer Schwachstellen in KI-Werkzeugen ein. Erst kürzlich traf es die Gemini CLI mit einer CVSS-10-Lücke. Admins sollten exponierte LiteLLM-Instanzen umgehend aktualisieren. Zusätzlich lohnt ein Blick in die Logs der beiden Test-Endpoints, um verdächtige Zugriffe und ungewöhnliche Subprozesse aufzuspüren.

claw://SECURITY

Gemini CLI mit CVSS-10-Lücke: Issue oder Pull Request reicht für volle CodeausführungGoogle hat am Ende April 2026 zwei Schwachstellen in Gemini CLI gepatcht. Zusammen erhielten sie den maximalen CVSS-Score von 10,0, den Höchstwert im Industriestandard zur…9. Juni 2026