Nesten 1 av 10 eksponerte LiteLLM-gatewayer godtok eksempelnøkkelen sk-1234

Wiz Research skannet i februar 3074 internett-eksponerte LiteLLM-gatewayer via Shodan, og 294 av dem slapp inn forespørsler med nøkkelen sk-1234, skriver The Hacker News. I 191 av tilfellene var det ikke satt noen nøkkel overhodet, så serverne ville godtatt hva som helst. Resten hadde latt eksempelverdien fra oppsettguiden stå. Per 9. september bruker guiden fortsatt sk-1234, med en kommentar om at verdien skal byttes ut før reell bruk.

LiteLLM er en KI-gateway med åpen kildekode som ligger mellom appene dine og modell-leverandørene du betaler for. Master-nøkkelen er både administratornøkkelen og bryteren som slår på autentisering. Før versjon 1.82.0-stable fikk enhver forespørsel mot en gateway uten master-nøkkel fulle admin-rettigheter. En admin kan lese alle leverandørnøklene som er lagret, se alle prompter og svar som passerer, og nå interne verktøy via MCP. Stjålne leverandørnøkler alene holder til LLMjacking: angriperen kjører modellkall på din regning.

Wiz viste også hvordan nøkkelen kan nå selve skykontoen. En admin kan lage en pass-through-rute som videresender forespørsler til en vilkårlig URL, og målet sjekkes ikke mot localhost, private adresser eller metadata-tjenesten. Ved å sende headere med prefikset x-pass- kom Wiz forbi IMDSv2 og leste ut maskinens IAM-legitimasjon. Ingen kilde melder at dette er gjort mot en ekte installasjon, og funksjonen har verken CVE eller fiks. LiteLLMs sikkerhetspolicy regner angrep som krever en oppsettfeil, som manglende master-nøkkel, som «eksplisitt utenfor omfang».

Parallelt utnyttes andre LiteLLM-hull allerede. CISA la CVE-2026-59822 (CVSS 8.8) inn i KEV-katalogen 2. september: en hvilken som helst Bearer-token, også ett enkelt tegn, åpner en gyldig MCP-økt. Amerikanske føderale etater har frist til 16. september. Wiz presiserer at feilen «bare gir tilgang til MCP-servere», men hva det betyr, avhenger av hvilke verktøy du har koblet på. CVE-2026-42271 (CVSS 8.7) lot innloggede brukere kjøre kommandoer via to MCP-testendepunkter, og Wiz så den brukt til å installere en kryptominer på sine honeypots. Microsoft beskrev i august et innbrudd der angripere leste master-nøkkelen, leverandørnøklene og databasestrengen fra containerens miljø og kopierte data ut av PostgreSQL-basen.

«Behandle KI-gatewayer som Tier-0-lagre for hemmeligheter» — Microsoft

Wiz og LiteLLM er heller ikke enige om alvorlighetsgraden på kodekjøringsfeilen CVE-2026-59821. Wiz demonstrerte kjøring som root inne i containeren, mens LiteLLMs advisory gir den 2.1 (Low) fordi den krever en høyprivilegert konto.

Hva bør du gjøre?

1. Bytt master-nøkkelen fra sk-1234 til en lang, tilfeldig verdi. Det krever ingen oppgradering, men sjekk først om en egen salt-nøkkel er satt, siden rotasjonen da går annerledes og feil fremgangsmåte kan gjøre lagrede nøkler uleselige.
2. Oppgrader til 1.84.0 eller nyere, som ligger over fiksen for alle fire CVE-ene The Hacker News lister.
3. Kan du ikke oppgradere nå: blokker /mcp/, POST /mcp-rest/test/connection, POST /mcp-rest/test/tools/list og POST /guardrails/test_custom_code i reverse proxyen.
4. Gå gjennom pass-through-rutene, begrens utgående nettverk fra containeren og gi den en så smal IAM-rolle som mulig, siden det er det eneste vernet mot metadata-ruten.