Gerbang AI jadi permukaan serangan — daptar KEV LiteLLM jeung jalur ngaliwatan konci, MCP, jeung cloud
Bypass auténtikasi MCP BerriAI LiteLLM (CVE-2026-59822) geus asup katalog KEV CISA, jeung Microsoft ngalaporkeun panyerang nganggo gerbang LiteLLM pikeun ngirim XMRig. Panalungtikan Wiz manggihan kira-kira 1 tina 10 tina ~3,000 instance publik narima konci gawan sk-1234 atanapi lumpat tanpa auténtikasi. Urang nalungtik naon hartina infrastruktur AI nyaéta brankas krédénsial.
Artikel ieu ditarjamahkeun ku mesin.
Dina Séptémber 2026, CISA nambahan bypass auténtikasi MCP BerriAI LiteLLM, CVE-2026-59822, kana katalog Known Exploited Vulnerabilities (KEV) (2 Séptémber, numutkeun garis waktos Wiz). Cacad ieu ngidinan token Bearer sawenang ngadegkeun sési anu diauténtikasi sacara sah dina titik ahir MCP Streamable HTTP LiteLLM, jeung muncul babarengan jeung genep cacad séjén anu diéksploitasi — kaasup SonicWall SMA 1000 jeung Sangoma Switchvox — dina apdet KEV awal Séptémber (numutkeun The Hacker News). LiteLLM nyaéta gerbang AI sumber terbuka anu nyimpen konci API unggal panyadia LLM anu dikonfigurasi; numutkeun perkiraan Wiz aya kira-kira sapertilu lingkungan cloud.
Fakta: (1) Panalungtikan Wiz (diterbitkeun 9 Séptémber) manggihan tina kira-kira 3,000 instance LiteLLM anu nyanghareup internét, kira-kira 9.6% narima konci master gawan sk-1234 atanapi teu merlukeun auténtikasi pisan. Dina instance tanpa auténtikasi anu dikonfigurasi, unggal pamaké dipasihan PROXY_ADMIN sacara gawan, jeung dugi ka fungsi admin tanpa krédénsial (geus dilereskeun ti harita). (2) Kalayan hak admin, panyerang tiasa nganggo fitur titik ahir pass-through pikeun mémproksi pamundut ka URL internal sawenang — kaasup layanan métadata AWS — jeung mékanisme neruskeun header x-pass- ngéléhkeun sarat token sési IMDSv2, ngaktipkeun maling krédénsial IAM cloud. (3) Dina Séptémber, Microsoft ngalaporkeun panyerang ngaranté CVE-2026-42271 jeung CVE-2026-48710 (bypass auténtikasi 'BadHost' Starlette) pikeun asup ka gerbang LiteLLM jeung ngirim panambang XMRig ngaliwatan binér ELF (numutkeun The Hacker News). Serangan kana instance RAGFlow anu kapapar, di sisi séjén, ngahasilkeun konci panyadia LLM anu dipaling jeung métadata, lain ransomware.
Analisis (dipisahkeun tina fakta): anu dituduhkeun ku carita-carita ieu nyaéta gerbang AI geus ngaliwatan tahap LLMjacking — ngabelanjakeun anggaran API batur — jadi jalur intrusi cloud anu nyata. LiteLLM ngajalankeun Python sisi server dina unggal pamundut inferénsi, tiasa mémproksi pamundut ka URL internal sawenang, jeung nyambung ka alat luar ngaliwatan MCP. Lain ngan brankas konci; éta sasak ka jaringan internal kalayan kamampuan éksekusi. Aset anu pihak pertahanan leuwih resep disumputkeun di handapeun prinsip desain «ieu AI, tetep internal» jadi, pikeun panyerang, jalur sababaraha tahap ka konci, IAM, jeung API internal di tukangeun hiji bypass auténtikasi. Sela struktural antara gawan anu dirancang pikeun pangalaman pamekar (sk-1234, PROXY_ADMIN nalika teu dikonfigurasi) jeung panyebaran produksi pantes dingaranan kitu.
Implikasi pertahanan: (1) Upami anjeun ngajalankeun LiteLLM, heula anyarkeun ka v1.84.0 atanapi salajengna (lereskeun CVE-2026-59822) jeung v1.83.7 atanapi salajengna (lereskeun CVE-2026-42271), ditambah Starlette 1.0.1 atanapi salajengna; konfirmasi konci master gawan geus diganti jeung instance teu kapapar internét. (2) Puterkeun kabéh konci API panyadia anu disimpen saolah-olah geus dikompromi nalika paparan dikonfirmasi, jeung setél wates belanja pikeun nutup karusakan nalika konci kaluar. (3) Anggap fitur anu mawa éksekusi kode sawenang atanapi proksi URL sawenang — MCP, titik ahir pass-through — minangka idin tingkat agén anu diinventaris papisah jeung dipareuman sacara gawan. (4) Audit gerbang AI jeung orkéstrator LLM séjén kalayan lénsa anu sami: krédénsial gawan, fungsi admin anu kapapar, proksi URL internal. Ieu analisis urang, lain pituduh vendor.
Fakta dina artikel ieu dicokot utamana tina panalungtikan Wiz (https://www.wiz.io/blog/off-guard-breaking-litellm-from-authentication-bypass-to-cloud-compromise), rilis lereskeun BerriAI LiteLLM (https://github.com/BerriAI/litellm/releases/tag/v1.83.7-stable), jeung katalog KEV CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), kalayan laporan The Hacker News minangka sekundér (https://thehackernews.com/2026/09/cisa-adds-5-actively-exploited.html jeung https://thehackernews.com/2026/09/cisa-adds-seven-exploited-flaws-as.html); tanggal KEV 2 Séptémber nuturkeun garis waktos Wiz. Bagian analisis dijaga papisah tina laporan faktual. Catet yén jumlah instance jeung bagian lingkungan cloud nyaéta perkiraan anu gumantung kana waktos jeung cara pangukuran.