LiteLLM: Sicherheitslücke wird 36 Stunden nach Disclosure aktiv ausgenutzt
KI-generiert mit ChatGPT
Eine kritische Schwachstelle im LiteLLM-Proxy wird laut Sysdig aktiv ausgenutzt. Das Sicherheitsunternehmen registrierte den ersten Angriff 36 Stunden und sieben Minuten nach Indexierung der Schwachstelle in der GitHub Advisory Database. Die Kennung lautet CVE-2026-42208, der CVSS-Wert liegt bei 9,3. Eine CVE-Nummer ist eine standardisierte Kennung, mit der Sicherheitslücken weltweit eindeutig referenziert werden.
Wo klafft die Lücke?
LiteLLM ist ein quelloffenes Gateway, das Anwendungen mit zentralen LLM-Anbietern wie OpenAI, Anthropic oder AWS Bedrock ermöglicht. Laut BleepingComputer findet sich die Schwachstelle in der Verifikation des Authorization-Bearer-Headers. Der Bearer-Wert floss direkt in eine SQL-Abfrage ohne Parameter-Binding. Ein einzelnes Anführungszeichen reicht für den Ausbruch und die anschließende Datenextraktion.
Was nehmen die Angreifer ins Visier?
Die Angreifer gehen zielgerichtet vor. Sie sind mit den Prisma-Schemata vertraut und nahmen bislang drei kritische Tabellen ins Visier: LiteLLM_VerificationToken, litellm_credentials und die litellm_config. Genannte Tabellen enthalten virtuelle API-Schlüssel, gespeicherte Provider-Credentials und Konfigurationsdaten. Sysdig vergleicht den Schaden bei einer erfolgreichen Extraktion mit einer kompletten Cloud-Account-Übernahme. LiteLLM stand bereits Anfang April im Fokus, als ein Supply-Chain-Angriff das Python-Paket kompromittierte.
AnzeigeWas muss gepatcht werden?
Der Fix steht in der LiteLLM-Version 1.83.7 bereit. Der Patch ersetzt die String-Konkatenation durch parametrisierte Abfragen. Wer nicht sofort aktualisieren kann, hat laut Maintainern als Übergangslösung die Möglichkeit, disable_error_logs: true unter general_settings zu setzen. Aus dem Internet erreichbare Instanzen sollten als kompromittiert betrachtet werden. Daher gilt es, alle Schlüssel zu rotieren.
Wie ordnet Sysdig den Vorfall ein?
Sysdig stuft AI-Gateways inzwischen als hochwertige Angriffsfläche ein. Die zentralen Speicher mit Cloud-Provider-Schlüsseln machen einen einzelnen Treffer extrem wertvoll. Zudem sinkt das Tempo zwischen Disclosure und Ausnutzung weiter. CVE-Alerts allein reichen für die Verteidigerseite nicht mehr aus. Advisories aus der GitHub Advisory Database erscheinen oft nicht in Standard-Feeds. Ähnlich verlief der Fall der aktiv ausgenutzten Langflow-Schwachstelle Anfang April.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
