एआय गेटवे हल्ला पृष्ठभाग बनतात — LiteLLM ची KEV नोंद आणि कळा, MCP, व क्लाउडमधून मार्ग
BerriAI LiteLLM चा MCP प्रमाणीकरण बायपास (CVE-2026-59822) CISA च्या KEV कॅटलॉगमध्ये आला आहे, आणि Microsoft अहवाल देते की हल्लेखोर XMRig पोहोचवण्यासाठी LiteLLM गेटवे वापरत आहेत. Wiz संशोधनात आढळले की सुमारे 3,000 सार्वजनिक इन्स्टन्समधील सुमारे 1 पैकी 10 ने डीफॉल्ट कळ sk-1234 स्वीकारली किंवा प्रमाणीकरणाशिवाय चालले. आम्ही तपासतो की एआय पायाभूत सुविधा क्रेडेन्शियलची तिजोरी आहे याचा अर्थ काय.
हा लेख मशीनने अनुवादित केला आहे.
सप्टेंबर 2026 मध्ये CISA ने BerriAI LiteLLM चा MCP प्रमाणीकरण बायपास, CVE-2026-59822, आपल्या Known Exploited Vulnerabilities (KEV) कॅटलॉगमध्ये जोडला (2 सप्टेंबर, Wiz च्या कालरेषेप्रमाणे). दोष कोणत्याही Bearer टोकनला LiteLLM च्या MCP Streamable HTTP एंडपॉइंटवर वैध प्रमाणित सत्र प्रस्थापित करू देतो, आणि तो 6 इतर शोषित दोषांसोबत आला — ज्यात SonicWall SMA 1000 आणि Sangoma Switchvox आहेत — सप्टेंबरच्या सुरुवातीच्या KEV अद्यतनात (The Hacker News प्रमाणे). LiteLLM हा ओपन-सोर्स एआय गेटवे आहे जो प्रत्येक कॉन्फिगर केलेल्या LLM प्रदात्याच्या API कळा ठेवतो; Wiz च्या अंदाजानुसार तो सुमारे 1/3 क्लाउड वातावरणात उपस्थित आहे.
तथ्ये: (1) Wiz चे संशोधन (9 सप्टेंबर रोजी प्रसिद्ध) आढळले की सुमारे 3,000 इंटरनेट-फेसिंग LiteLLM इन्स्टन्सपैकी सुमारे 9.6% ने डीफॉल्ट मास्टर कळ sk-1234 स्वीकारली किंवा कोणतेही प्रमाणीकरण लागलेच नाही. ज्या इन्स्टन्समध्ये प्रमाणीकरण कॉन्फिगर नव्हते, तिथे प्रत्येक वापरकर्त्याला डीफॉल्टने PROXY_ADMIN दिले गेले, क्रेडेन्शियलशिवाय प्रशासक कार्यक्षमतेपर्यंत पोहोच (तेव्हापासून दुरुस्त). (2) प्रशासक अधिकारांसह, हल्लेखोर पास-थ्रू एंडपॉइंट सुविधेने विनंत्या मनमान्या अंतर्गत URL कडे प्रॉक्सी करू शकतो — AWS मेटाडेटा सेवेसह — आणि x-pass- हेडर-फॉरवर्डिंग यंत्रणा IMDSv2 ची सत्र-टोकन अट निकामी करते, ज्यामुळे क्लाउड IAM क्रेडेन्शियल चोरी शक्य होते. (3) सप्टेंबरमध्ये Microsoft ने अहवाल दिला की हल्लेखोरांनी CVE-2026-42271 आणि CVE-2026-48710 (Starlette 'BadHost' प्रमाणीकरण बायपास) साखळीत जोडून LiteLLM गेटवेमध्ये प्रवेश केला आणि ELF बायनरीमार्फत XMRig मायनर पोहोचवला (The Hacker News प्रमाणे). उघड्या RAGFlow इन्स्टन्सवरील हल्ल्यांमधून, या दरम्यान, रॅन्समवेअरऐवजी चोरलेल्या LLM प्रदाता कळा आणि मेटाडेटा मिळाले.
विश्लेषण (तथ्यांपासून वेगळे): या कथा दाखवतात की एआय गेटवे 'LLMjacking' टप्प्यापलीकडे गेले आहेत — दुसऱ्याच्या API अर्थसंकल्पाचा खर्च — आणि वैध क्लाउड घुसखोरी मार्ग बनले आहेत. LiteLLM प्रत्येक अनुमान विनंतीवर सर्व्हर-साइड Python चालवतो, विनंत्या मनमान्या अंतर्गत URL कडे प्रॉक्सी करू शकतो, आणि MCP मार्फत बाह्य साधनांशी जोडतो. तो केवळ कळांची तिजोरी नाही; तो एक्झिक्यूशन क्षमतेसह अंतर्गत नेटवर्कमधील पूल आहे. ज्या मालमत्ता रक्षक 'हे एआय आहे, ते अंतर्गत ठेवा' या डिझाइन तत्त्वाखाली लपवणे पसंत करतात, त्या हल्लेखोरांसाठी एकाच प्रमाणीकरण बायपासमागे कळा, IAM, आणि अंतर्गत API पर्यंत बहु-टप्पा मार्ग बनतात. डेव्हलपर अनुभवासाठी रचलेले डीफॉल्ट (sk-1234, असंरूपित असताना PROXY_ADMIN) आणि प्रोडक्शन तैनाती यांतील संरचनात्मक फट तशीच नावाने सांगणे योग्य आहे.
संरक्षणात्मक परिणाम: (1) जर तुम्ही LiteLLM चालवत असाल, तर आधी v1.84.0 किंवा नंतरच्या आवृत्तीवर अद्यतन करा (CVE-2026-59822 दुरुस्ती) आणि v1.83.7 किंवा नंतरच्यावर (CVE-2026-42271 दुरुस्ती), तसेच Starlette 1.0.1 किंवा नंतरचे; पुष्टी करा की डीफॉल्ट मास्टर कळ बदलली आहे आणि इन्स्टन्स इंटरनेटवर उघडा नाही. (2) एक्सपोजरची पुष्टी होताच सर्व साठवलेल्या प्रदाता API कळा अशा फिरवा जणू त्या तडजोड झाल्या आहेत, आणि खर्च मर्यादा ठेवा जेणेकरून एखादी कळ बाहेर गेल्यास नुकसान मर्यादित राहील. (3) ज्या सुविधा मनमाना कोड एक्झिक्यूशन किंवा मनमाना URL प्रॉक्सी घेऊन जातात — MCP, पास-थ्रू एंडपॉइंट — त्या एजंट-स्तरीय परवानग्या म्हणून स्वतंत्र यादी करा आणि डीफॉल्टने अक्षम करा. (4) इतर एआय गेटवे आणि LLM ऑर्केस्ट्रेटर त्याच नजरेने ऑडिट करा: डीफॉल्ट क्रेडेन्शियल, उघडी प्रशासक कार्यक्षमता, अंतर्गत URL प्रॉक्सी. हे आमचे विश्लेषण आहे, विक्रेता मार्गदर्शन नाही.
या लेखातील तथ्ये प्रामुख्याने Wiz च्या संशोधनातून (https://www.wiz.io/blog/off-guard-breaking-litellm-from-authentication-bypass-to-cloud-compromise), BerriAI LiteLLM च्या दुरुस्ती रिलीझमधून (https://github.com/BerriAI/litellm/releases/tag/v1.83.7-stable), आणि CISA KEV कॅटलॉगमधून (https://www.cisa.gov/known-exploited-vulnerabilities-catalog) घेतली आहेत, दुय्यम म्हणून The Hacker News अहवालासह (https://thehackernews.com/2026/09/cisa-adds-5-actively-exploited.html आणि https://thehackernews.com/2026/09/cisa-adds-seven-exploited-flaws-as.html); 2 सप्टेंबरची KEV तारीख Wiz च्या कालरेषेचे अनुसरण करते. विश्लेषण खंड तथ्यात्मक अहवालापासून वेगळे ठेवले आहेत. लक्षात घ्या की इन्स्टन्स मोजणी आणि क्लाउड-वातावरण वाटा हे अंदाज आहेत जे मोजमापाच्या वेळ आणि पद्धतीवर अवलंबून आहेत.