Krytyczna luka w LiteLLM wykorzystana tuż po ujawnieniu. Administratorzy powinni pilnie zaktualizować systemy

Specjaliści firmy Sysdig poinformowali o wykryciu pierwszych ataków wykorzystujących krytyczną podatność w otwartoźródłowym rozwiązaniu LiteLLM, pełniącym rolę bramki AI (AI Gateway). Podatność, oznaczona jako CVE-2026-42208 z oceną 9.3 w skali CVSS, została publicznie ujawniona 20 kwietnia 2026 roku. Pierwsze próby jej wykorzystania zaobserwowano już 36 godzin później. Atak umożliwia osobie działającej z zewnątrz dostęp do bazy danych przechowującej wrażliwe informacje, w tym klucze API i dane uwierzytelniające dostawców.

Na czym polega podatność w LiteLLM

Jak opisano w raporcie SecurityWeek, problem dotyczy iniekcji SQL w procesie weryfikacji klucza proxy API. W skrócie: zapytanie do bazy danych używane podczas weryfikacji nie przekazywało wartości dostarczonej przez osobę wywołującą jako osobny parametr, lecz włączało ją bezpośrednio do treści zapytania. Umożliwiło to nieuwierzytelnionemu atakującemu wysłanie spreparowanego nagłówka Authorization do dowolnego endpointu API modelu językowego.

Jak wskazują badacze Sysdig, wywołanie to następuje zanim zapadnie decyzja o autoryzacji. Oznacza to, że atak ma charakter pre-auth – do jego przeprowadzenia wystarczy, aby klient HTTP miał dostęp do portu proxy. Dzięki temu atakujący może odczytać, a w niektórych przypadkach także modyfikować dane w bazie LiteLLM.

Jak wyglądały ataki i jakie były ich skutki

Z obserwacji Sysdig wynika, że napastnicy skoncentrowali się na trzech tabelach bazy danych. Celem były rekordy zawierające klucze API, dane uwierzytelniające dostawców oraz konfigurację zmiennych środowiskowych proxy. Ataki były przeprowadzane w sposób zautomatyzowany – kolejne próby dzieliło 21 minut, a atakujący rotowali adresy IP źródłowych żądań.

„Nowatorstwo tego odkrycia polega na szybkości i precyzji próby enumeracji schematu bazy danych, a nie na potwierdzonej kompromitacji” – zauważają eksperci Sysdig w swoim komentarzu. Mimo że wydobyte klucze i dane uwierzytelniające nie zostały dotychczas wykorzystane w dalszych działaniach, samo uzyskanie do nich dostępu stanowi poważne ryzyko. Wykorzystanie tych informacji mogłoby umożliwić atakującemu podszywanie się pod usługi AI, kradzież środków z kont lub dalszy ruch boczny w infrastrukturze.

Kto jest narażony i jak się chronić

Podatność dotyczy wszystkich wersji LiteLLM przed 1.83.7. Zagrożeni są administratorzy i firmy, które wdrożyły to oprogramowanie jako bramkę do modeli językowych, np. dla własnych aplikacji lub usług dla klientów. Eksperci zalecają niezwłoczną aktualizację do wersji 1.83.7, w której problem został załatany poprzez zapewnienie, że wartość dostarczana przez osobę wywołującą jest zawsze przekazywana jako osobny parametr zapytania.

Do czasu wdrożenia aktualizacji można także wyłączyć logowanie błędów, co – jak podkreślają badacze – ogranicza możliwość eksploatacji podatności. Jednakże najskuteczniejszym i zalecanym działaniem pozostaje aktualizacja oprogramowania do najnowszej wersji. Administratorzy powinni także dokonać przeglądu logów pod kątem nietypowych prób dostępu do bazy danych oraz rozważyć rotację kluczy API, które mogły zostać odczytane w wyniku ataku.

Kontekst i wnioski

Opisywany incydent wpisuje się w szerszy trend szybkiego wykorzystywania publicznie ujawnionych podatności w narzędziach AI. Rosnące zainteresowanie atakujących systemami służącymi do zarządzania dostępem do modeli językowych wynika z centralnej roli, jaką pełnią one w architekturze nowoczesnych aplikacji. Przechowywane w nich klucze API i dane uwierzytelniające stanowią dla cyberprzestępców atrakcyjny cel.

Dla zespołów IT i security kluczowe jest skrócenie czasu od momentu publikacji łaty do jej wdrożenia – ataki mogą nastąpić w ciągu kilkudziesięciu godzin. Regularne aktualizacje, monitorowanie logów i stosowanie zasady najmniejszych uprawnień pozostają podstawą obrony przed tego typu zagrożeniami.