اے آئی گیٹ وے حملے کی سطح بنتے ہیں — LiteLLM کی KEV فہرست اور کلیدوں، MCP، اور کلاؤڈ سے گزرنے والا راستہ
BerriAI LiteLLM کا MCP تصدیق بائی پاس (CVE-2026-59822) CISA کے KEV کیٹلاگ میں آ گیا ہے، اور Microsoft رپورٹ کرتا ہے کہ حملہ آور XMRig پہنچانے کے لیے LiteLLM گیٹ وے استعمال کر رہے ہیں۔ Wiz تحقیق میں پایا کہ تقریباً 3,000 عوامی انسٹنس میں سے تقریباً 1 میں سے 10 نے طے شدہ کلید sk-1234 قبول کی یا تصدیق کے بغیر چلے۔ ہم جائزہ لیتے ہیں کہ اس کا کیا مطلب ہے کہ اے آئی انفراسٹرکچر اسناد کا خزانہ ہے۔
یہ مضمون مشین سے ترجمہ کیا گیا ہے۔
ستمبر 2026 میں CISA نے BerriAI LiteLLM کے MCP تصدیق بائی پاس، CVE-2026-59822، کو اپنے Known Exploited Vulnerabilities (KEV) کیٹلاگ میں شامل کیا (2 ستمبر، Wiz کی ٹائم لائن کے مطابق)۔ نقص کسی بھی Bearer ٹوکن کو LiteLLM کے MCP Streamable HTTP اینڈ پوائنٹ پر درست تصدیق شدہ سیشن قائم کرنے دیتا ہے، اور یہ 6 دیگر استحصال شدہ نقائص کے ساتھ آیا — جن میں SonicWall SMA 1000 اور Sangoma Switchvox شامل ہیں — ستمبر کے آغاز کی KEV تازہ کاری میں (The Hacker News کے مطابق)۔ LiteLLM ایک اوپن سورس اے آئی گیٹ وے ہے جو ہر ترتیب دیے LLM فراہم کنندہ کی API کلیدیں رکھتا ہے؛ Wiz کے تخمینے سے یہ تقریباً 1/3 کلاؤڈ ماحول میں موجود ہے۔
حقائق: (1) Wiz کی تحقیق (9 ستمبر کو شائع) نے پایا کہ تقریباً 3,000 انٹرنیٹ رخ LiteLLM انسٹنس میں سے تقریباً 9.6% نے طے شدہ ماسٹر کلید sk-1234 قبول کی یا کسی تصدیق کی ضرورت ہی نہیں تھی۔ جن انسٹنس میں تصدیق ترتیب نہیں تھی، وہاں ہر صارف کو طے شدہ طور پر PROXY_ADMIN دیا گیا، اسناد کے بغیر منتظم فعالیت تک رسائی (اس کے بعد درست)۔ (2) منتظم حقوق کے ساتھ، حملہ آور پاس تھرو اینڈ پوائنٹ سہولت سے درخواستوں کو من مانا داخلی URL پر پراکسی کر سکتا ہے — AWS میٹا ڈیٹا سروس سمیت — اور x-pass- ہیڈر فارورڈنگ طریقہ IMDSv2 کی سیشن ٹوکن شرط کو ناکام کرتا ہے، جس سے کلاؤڈ IAM اسناد کی چوری ممکن ہوتی ہے۔ (3) ستمبر میں Microsoft نے رپورٹ کیا کہ حملہ آوروں نے CVE-2026-42271 اور CVE-2026-48710 (Starlette 'BadHost' تصدیق بائی پاس) کو زنجیر میں جوڑ کر LiteLLM گیٹ وے میں داخلہ کیا اور ایک ELF بائنری کے ذریعے XMRig مائنر پہنچایا (The Hacker News کے مطابق)۔ کھلے RAGFlow انسٹنس پر حملوں سے، اس دوران، رینسم ویئر کے بجائے چوری شدہ LLM فراہم کنندہ کلیدیں اور میٹا ڈیٹا ملے۔
تجزیہ (حقائق سے الگ): یہ کہانیاں دکھاتی ہیں کہ اے آئی گیٹ وے 'LLMjacking' مرحلے سے آگے نکلے ہیں — کسی اور کے API بجٹ کا خرچ — اور کلاؤڈ میں داخلے کا جائز راستہ بن گئے ہیں۔ LiteLLM ہر استنباط درخواست پر سرور سائیڈ Python چلاتا ہے، درخواستوں کو من مانا داخلی URL پر پراکسی کر سکتا ہے، اور MCP کے ذریعے بیرونی ٹولز سے جڑتا ہے۔ یہ صرف کلیدوں کا خزانہ نہیں؛ یہ عملدرآمد کی صلاحیت کے ساتھ اندرونی نیٹ ورک میں ایک پل ہے۔ جن اثاثوں کو محافظ 'یہ اے آئی ہے، اسے اندرونی رکھیں' ڈیزائن اصول کے نیچے چھپانا پسند کرتے ہیں، وہ حملہ آوروں کے لیے ایک ہی تصدیق بائی پاس کے پیچھے کلیدوں، IAM، اور داخلی API تک کثیر مرحلہ راستہ بن جاتے ہیں۔ ڈویلپر تجربے کے لیے ڈیزائن شدہ طے شدہ (sk-1234، غیر مرتب ہونے پر PROXY_ADMIN) اور پروڈکشن تعیناتی کے درمیان ساختی خلا کو اسی طرح نام دینا مناسب ہے۔
دفاعی مضمرات: (1) اگر آپ LiteLLM چلاتے ہیں، تو پہلے v1.84.0 یا بعد کے نسخے پر تازہ کریں (CVE-2026-59822 اصلاح) اور v1.83.7 یا بعد کے پر (CVE-2026-42271 اصلاح)، ساتھ Starlette 1.0.1 یا بعد کا؛ تصدیق کریں کہ طے شدہ ماسٹر کلید بدل دی گئی ہے اور انسٹنس انٹرنیٹ پر کھلا نہیں۔ (2) ایکسپوژر کی تصدیق ہوتے ہی تمام محفوظ فراہم کنندہ API کلیدوں کو اس طرح گھمائیں گویا ان کا سمجھوتہ ہو چکا ہو، اور خرچ کی حدیں لگائیں تاکہ جب کوئی کلید نکل جائے تو نقصان محدود رہے۔ (3) جو سہولتیں من مانا کوڈ ایگزیکیوشن یا من مانا URL پراکسی رکھتی ہیں — MCP، پاس تھرو اینڈ پوائنٹ — انہیں ایجنٹ سطح کی اجازتوں کے طور پر الگ فہرست کریں اور طے شدہ طور پر بند کریں۔ (4) دیگر اے آئی گیٹ وے اور LLM آرکیسٹریٹر کا اسی نظر سے آڈٹ کریں: طے شدہ اسناد، کھلی منتظم فعالیت، داخلی URL پراکسی۔ یہ ہمارا تجزیہ ہے، فروش کی رہنمائی نہیں۔
اس مضمون کے حقائق بنیادی طور پر Wiz کی تحقیق (https://www.wiz.io/blog/off-guard-breaking-litellm-from-authentication-bypass-to-cloud-compromise)، BerriAI LiteLLM کی اصلاح ریلیز (https://github.com/BerriAI/litellm/releases/tag/v1.83.7-stable)، اور CISA KEV کیٹلاگ (https://www.cisa.gov/known-exploited-vulnerabilities-catalog) سے لیے گئے ہیں، ثانوی طور پر The Hacker News کی رپورٹ کے ساتھ (https://thehackernews.com/2026/09/cisa-adds-5-actively-exploited.html اور https://thehackernews.com/2026/09/cisa-adds-seven-exploited-flaws-as.html)؛ 2 ستمبر کی KEV تاریخ Wiz کی ٹائم لائن کی پیروی کرتی ہے۔ تجزیہ حصوں کو حقائق کی رپورٹنگ سے الگ رکھا گیا ہے۔ نوٹ کریں کہ انسٹنس گنتی اور کلاؤڈ ماحول کا حصہ ایسے تخمینے ہیں جو پیمائش کے وقت اور طریقے پر منحصر ہیں۔