Rantai Kerentanan LiteLLM Memungkinkan Pengguna dengan Hak Istimewa Rendah Mengambil Alih Server AI Gateway

Perkembangan ini menjadi salah satu sorotan penting dalam perkembangan alat dan strategi keamanan siber. Akun default dengan hak istimewa rendah pada proxy LiteLLM dapat naik ke admin penuh dan menjalankan kode di server dengan merangkai tiga kerentanan, ungkap para peneliti di…

Akun default dengan hak istimewa rendah pada proxy LiteLLM dapat naik ke admin penuh dan menjalankan kode di server dengan merangkai tiga kerentanan, ungkap para peneliti di Obsidian Security

Obsidian menilai rantai penuh CVSS 9. 9, dalam kisaran Kritis. BerriAI, pengelolanya, menyertakan set perbaikan lengkap dalam LiteLLM v1. 83. 14-stable, yang dicantumkan GitHub sebagai rilis 2 Mei. Tingkatkan ke rilis tersebut atau lebih baru untuk menutup rantai tiga CVE.

Salah satunya adalah CVE-2026-47102, peningkatan hak istimewa. Titik akhir /pengguna/pembaruan memungkinkan pengguna mengedit catatan mereka sendiri, namun tidak membatasi bidang mana yang dapat mereka tulis. Pembaruan mandiri dengan user_role: "proxy_admin" diterima dan disimpan, mempromosikan penelepon menjadi admin proxy penuh. Sebuah org_admin dapat mencapai titik akhir ini melalui jalur kode yang sah dan dimaksudkan tanpa memerlukan bypass; internal_user default mencapainya setelah CVE-2026-47101.

Obsidian mendemonstrasikan hal ini terhadap Claude Code yang disalurkan melalui proxy yang dikompromikan. Ini bukan suntikan cepat. Alih-alih membujuk model untuk berperilaku buruk, penyerang menggunakan mekanisme panggilan balik bawaan LiteLLM, sebuah titik ekstensi yang diaktifkan pada setiap permintaan dan tidak pernah muncul di UI admin. Callback tersebut menukar respons model dengan panggilan alat palsu dan menulis ulang konteks pemeriksaan keamanan sehingga tindakan tersebut dibaca sebagai disetujui.

Terpisah dari rantai, LiteLLM memberikan proxy_admin jalur eksekusi kode yang disengaja: dukungan MCP-nya memungkinkan admin mendaftarkan server stdio MCP yang diluncurkan proxy sebagai subproses lokal. Itu adalah trade-off desain dan bukan bug, dan patch tidak mengubahnya, jadi menghubungi admin secara efektif mencapai eksekusi kode.

Secara keseluruhan, perkembangan ini memberi gambaran tentang arah terbaru di perkembangan alat dan strategi keamanan siber dan alasan mengapa topik ini tetap relevan untuk terus dipantau.

Baca sumber asli dari thehackernews. com