Gateway AI dadi lumah panyerangan — kadhaptar KEV LiteLLM lan dalan liwat kunci, MCP, lan cloud
Bypass autentikasi MCP BerriAI LiteLLM (CVE-2026-59822) wis mlebu katalog KEV CISA, lan Microsoft nglaporake panyerang nganggo gateway LiteLLM kanggo ngirim XMRig. Riset Wiz nemokake kurang luwih 1 saka 10 saka ~3,000 instansi umum nampa kunci gawan sk-1234 utawa mlaku tanpa autentikasi. Tulisan iki nliti apa artine prasarana AI dadi brankas kredensial.
Artikel iki dijarwakake dening mesin.
Ing September 2026, CISA nambahake bypass autentikasi MCP BerriAI LiteLLM, CVE-2026-59822, menyang katalog Known Exploited Vulnerabilities (KEV) (tanggal 2 September, miturut garis wektu Wiz). Cacat iki ngidini token Bearer sembarang ngadegake sesi autentikasi sing sah ing endpoint MCP Streamable HTTP LiteLLM, lan muncul bebarengan karo 6 cacat liyane sing dieksploitasi — klebu SonicWall SMA 1000 lan Sangoma Switchvox — ing nganyari KEV wiwitan September (miturut The Hacker News). LiteLLM yaiku gateway AI sumber terbuka sing nyimpen kunci API kanggo saben panyedhiya LLM sing dikonfigurasi; miturut etungan Wiz, LiteLLM ana ing kurang luwih 1/3 lingkungan cloud.
Faktane: (1) Riset Wiz (kababar tanggal 9 September) nemokake yen saka kurang luwih 3,000 instansi LiteLLM sing madhep internet, kurang luwih 9.6% nampa kunci master gawan sk-1234 utawa ora perlu autentikasi babar pisan. Ing instansi tanpa autentikasi sing dikonfigurasi, saben pangguna diwenehi PROXY_ADMIN kanthi gawan, nganti fungsi admin tanpa kredensial (wis ditambal wiwit iku). (2) Kanthi hak admin, panyerang bisa nganggo fitur endpoint pass-through kanggo proxy panjaluk menyang URL internal sembarang — klebu layanan metadata AWS — lan mekanisme nerusake header x-pass- ngalahake syarat token sesi IMDSv2, saéngga bisa nyolong kredensial IAM cloud. (3) Ing September, Microsoft nglaporake panyerang nggandhengake CVE-2026-42271 lan CVE-2026-48710 (bypass autentikasi «BadHost» Starlette) kanggo mlebu gateway LiteLLM lan ngirim penambang XMRig liwat biner ELF (miturut The Hacker News). Panyerangan marang instansi RAGFlow sing kebukak, sauntara iku, ngasilake kunci panyedhiya LLM lan metadata sing dicolong, dudu ransomware.
Analisis (kapisah saka fakta): sing dituduhake crita-crita iki yaiku gateway AI wis ngluwihi tataran «LLMjacking» — mbuang anggaran API wong liya — lan dadi dalan mlebu cloud sing nyata. LiteLLM nglakokake Python sisih server ing saben panjaluk inferensi, bisa proxy panjaluk menyang URL internal sembarang, lan nyambung menyang alat njaba liwat MCP. Iki dudu mung brankas kunci; iki jembatan menyang jaringan internal kanthi kemampuan eksekusi. Aset sing pangreksa luwih seneng disimpen ing ngisor prinsip rancangan «iki AI, simpen ing njero» dadi, kanggo panyerang, dalan pirang-pirang tataran menyang kunci, IAM, lan API internal ing mburine 1 bypass autentikasi. Celah struktural antarane gawan sing dirancang kanggo pangalaman pangembang (sk-1234, PROXY_ADMIN nalika durung dikonfigurasi) lan panyebaran produksi pantes diarani kanthi jeneng iku.
Akibat kanggo pangreksa: (1) Menawa sampeyan nglakokake LiteLLM, dhisik anyarake menyang v1.84.0 utawa sabanjure (dandan CVE-2026-59822) lan v1.83.7 utawa sabanjure (dandan CVE-2026-42271), ditambah Starlette 1.0.1 utawa sabanjure; pesthèkake kunci master gawan wis diganti lan instansi ora kebukak ing internet. (2) Puter kabeh kunci API panyedhiya sing disimpen kaya-kaya wis dikompromi nalika kebukakan wis dipesthèkake, lan setel wates belanja kanggo mbatesi kerusakan nalika kunci pancen metu. (3) Anggep fitur sing nggawa eksekusi kode sembarang utawa proxy URL sembarang — MCP, endpoint pass-through — minangka idin tingkat agen sing kudu didhaftar kapisah lan dipateni kanthi gawan. (4) Audit gateway AI lan orkestrator LLM liyane kanthi cara ndeleng sing padha: kredensial gawan, fungsi admin sing kebukak, proxy URL internal. Iki analisis redaksi, dudu pituduh vendor.
Fakta ing tulisan iki utamane dijupuk saka riset Wiz (https://www.wiz.io/blog/off-guard-breaking-litellm-from-authentication-bypass-to-cloud-compromise), rilis dandan BerriAI LiteLLM (https://github.com/BerriAI/litellm/releases/tag/v1.83.7-stable), lan katalog KEV CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), kanthi pawarta The Hacker News minangka sekunder (https://thehackernews.com/2026/09/cisa-adds-5-actively-exploited.html lan https://thehackernews.com/2026/09/cisa-adds-seven-exploited-flaws-as.html); tanggal KEV 2 September ngetutake garis wektu Wiz. Bagean analisis dijaga kapisah saka pawarta faktual. Cathetan: cacah instansi lan bagian lingkungan cloud yaiku etungan sing gumantung ing wektu lan cara pangukuran.