Хакери вметнуваат критична SQL injection ранливост во LiteLLM без автентикација

Хакери таргетираат чувствителни информации складирани во LiteLLM – open-source gateway за големи јазични модели (LLM) – искористувајќи критична ранливост следена како CVE-2026-42208.

Ранливоста е SQL injection проблем кој се јавува за време на процесот на верификација на API клучевите во proxy слојот на LiteLLM. Напаѓач може да ја искористи без потреба од автентикација, испраќајќи специјално креиран Authorization header кон било која LLM API рута.

Ова овозможува читање и модификација на податоци во базата на proxy-от. Според безбедносното известување на одржувачите, напаѓачите можат да го искористат ова за „неовластен пристап до proxy-от и креденцијалите што ги управува“.

Поправка е објавена во LiteLLM верзија 1.83.7, каде што string concatenation е заменет со параметризирани SQL прашања.

LiteLLM складира API клучеви, виртуелни и мастер клучеви, како и environment и конфигурациски тајни, па пристапот до базата им овозможува на хакерите да извлечат чувствителни податоци и да ги искористат за понатамошни напади.

LiteLLM е популарен proxy/SDK middleware слој кој им овозможува на корисниците да повикуваат AI модели преку единствен унифициран API. Проектот е широко користен од развивачи на LLM апликации и платформи што управуваат со повеќе модели, со 45 илјади ѕвезди и 7.6 илјади fork-ови на GitHub.

Проектот неодамна беше и мета на supply-chain напад, каде што хакерската група TeamPCP објави злонамерни PyPI пакети кои инсталираа infostealer за крадење креденцијали, токени и тајни од заразени системи.

Според извештај на истражувачи од Sysdig, компанија за cloud безбедност, експлоатацијата на CVE-2026-42208 започнала приближно 36 часа по јавното објавување на ранливоста на 24 април.

Активна експлоатација

Истражувачите забележале насочени напади со специјално креирани барања кон ‘/chat/completions’ со малициозен ‘Authorization: Bearer’ header.

Овие барања таргетирале конкретни табели што содржат API клучеви, креденцијали од провајдери (како OpenAI, Anthropic, Bedrock), environment податоци и конфигурации.

Според Sysdig, немало обиди за пристап до неважни табели – „напаѓачот директно се насочил кон местата каде што се чуваат тајните“, што укажува дека точно знаел што бара.

Во втората фаза од нападот, напаѓачот ја сменил IP адресата (веројатно за избегнување детекција), повторно ги извршил SQL injection нападите, но овојпат со попрецизни payload-и базирани на веќе добиени информации.

Иако 36 часа не е најбрз одговор (во споредба со други ранливости), нападите биле прецизни и добро насочени.

Истражувачите предупредуваат дека сите LiteLLM инстанци изложени на интернет кои сè уште користат ранливи верзии треба да се сметаат за потенцијално компромитирани. Сите виртуелни API клучеви, мастер клучеви и креденцијали треба веднаш да се заменат.

За оние кои не можат да надградат на верзија 1.83.7 или понова, одржувачите препорачуваат привремено решение: поставување на ‘disable_error_logs: true’ во ‘general_settings’, со цел да се блокира патеката преку која малициозните внесови стигнуваат до ранливиот SQL query.

Извори:

• Bleeping Computer – Hackers are exploiting a critical LiteLLM pre-auth SQLi flaw Bleeping Computer