CISA setter LiteLLM-feilen på listen over aktivt utnyttede sårbarheter

CISA la 11. mai LiteLLM-sårbarheten CVE-2026-42208 inn i Known Exploited Vulnerabilities-katalogen. Feilen er en SQL-injeksjon i proxyens API-nøkkelvalideringsrute med CVSS 9.3, og rammer LiteLLM 1.81.16 til 1.83.6. BerriAI fikset den i 1.83.7 den 19. april, men Sysdig Threat Research Team så første utnyttelsesforsøk 36 timer og 7 minutter etter publisering, ifølge deres rapport.

Måten feilen virker på er det skarpe: brukerleverte API-nøkler limes inn i SQL-spørringen som tekst, ikke bindes som parameter. En angriper trenger ingen gyldig nøkkel. Det rekker å sende et spesielt utformet Authorization-header mot en hvilken som helst LLM-rute som /chat/completions. Spørringen når den sårbare koden via feilhåndteringsbanen, og angriperen kan lese og potensielt endre databaseinnholdet.

«Trafikken var ikke en generisk SQLmap-spray, men en bevisst og sannsynligvis tilpasset kartlegging av LiteLLM-skjemaet, målrettet de tre tabellene som inneholder virtuelle API-nøkler, lagrede leverandørcreds og proxyens miljøvariabler.» — Sysdig Threat Research Team

Sysdig så ingen oppfølging. Verken autentiserte kall med eksfiltrerte nøkler, /key/generate-misbruk eller kjedet credential-bruk dukket opp i loggene. Det betyr at angriperen sannsynligvis er i kartleggingsfase, ikke høstingsfase. Men siden CISA nå har det på KEV-listen, vil flere prøve.

For deg som driver LiteLLM som proxy mot Claude, OpenAI eller lokale modeller: oppgrader til 1.83.7 i dag. Hvis du sitter med eldre versjon og ikke kan oppgradere umiddelbart, sett disable_error_logs: true i general_settings-blokken. Det blokkerer banen som leverer SQL-injeksjonen.

Hva bør du gjøre?

Sjekk LiteLLM-versjon: pip show litellm | grep Version. Er du på 1.81.16 til 1.83.6, oppgrader umiddelbart med pip install --upgrade litellm.
Hvis du ikke kan oppgradere, sett disable_error_logs: true i general_settings-blokken i LiteLLM-konfigurasjonen. Det fjerner feilhåndteringsbanen som angriperen bruker.
Roter alle virtuelle API-nøkler og leverandør-credentials lagret i LiteLLM-databasen hvis logger viser uventede kall mot /chat/completions med uvanlige Authorization-headere mellom 21. april og oppgraderingstidspunktet.