Σοβαρές ευπάθειες στο δημοφιλές εργαλείο LiteLLM επέτρεπαν πλήρη κατάληψη της πύλης AI
Ερευνητές της Check Point εντόπισαν δύο ευπάθειες υψηλής επικινδυνότητας, με κωδικούς CVE-2026-35029 και CVE-2026-59823, στο LiteLLM, open source εργαλείο με σχεδόν 100.000 λήψεις τον μήνα που λειτουργεί ως πύλη (gateway) ανάμεσα σε εφαρμογές και παρόχους μοντέλων όπως OpenAI, Google και Anthropic. Η πρώτη ευπάθεια επέτρεπε σε οποιονδήποτε χρήστη να αποκτήσει δικαιώματα διαχειριστή μέσω λείπουσας επαλήθευσης εξουσιοδότησης, ανοίγοντας τον δρόμο για πλήρη κατάληψη του συστήματος και εκτέλεση κώδικα, ενώ η δεύτερη εκμεταλλευόταν τεχνική server-side request forgery για να ανακατευθύνει αιτήματα του gateway και να αποκαλύψει τα κλειδιά API των παρόχων AI. Επειδή τέτοιες πύλες συγκεντρώνουν τα διαπιστευτήρια όλων των παρόχων AI μιας επιχείρησης μαζί με τη διαχείριση ρόλων χρηστών, ένας επιτιθέμενος με απλό λογαριασμό μπορούσε δυνητικά να αποκτήσει πρόσβαση σε αρχεία, να κλέψει κωδικούς και να εκτελέσει κώδικα εξ αποστάσεως. Η διόρθωση κυκλοφόρησε με την έκδοση 1.83.9, και οι ειδικοί συστήνουν άμεση ενημέρωση, έλεγχο των λογαριασμών με πρόσβαση στο gateway και αλλαγή των κλειδιών API αν υπάρχει υποψία παραβίασης. Για μια επιχείρηση που συνδέει εσωτερικές εφαρμογές με πολλούς παρόχους AI μέσω τέτοιου εργαλείου, η υπόθεση είναι υπενθύμιση ότι η υποδομή γύρω από την AI χρειάζεται τους ίδιους ελέγχους ασφαλείας με κάθε άλλο κρίσιμο σύστημα.
Πηγές
Η περίληψη συντάχθηκε αυτόματα με AI από τις δημόσιες πηγές που αναφέρονται παραπάνω και ελέγχθηκε από ανεξάρτητο AI ελεγκτή πριν δημοσιευτεί. Για όλες τις λεπτομέρειες, διάβασε την αρχική πηγή.