Strokovnjaki za kibernetsko varnost opozarjajo na aktivno izkoriščanje kritične varnostne ranljivosti v platformi LiteLLM, ki predstavlja enega najpogosteje uporabljenih odprtokodnih prehodov za upravljanje velikih jezikovnih modelov. Ranljivost, označena kot CVE-2026-42208, omogoča napadalcem izvajanje SQL injection napadov brez potrebe po predhodnji avtentikaciji.
LiteLLM je zasnovan kot enotna točka dostopa za različne LLM storitve, vključno z OpenAI, Anthropic, Azure in drugimi ponudniki. Platforma omogoča organizacijam centralizirano upravljanje API ključev, nadzor uporabe in postavitev varnostnih politik, kar jo dela privlačno tarčo za napadalce.
Kritična ranljivost izvira iz nepravilne validacije uporabniških vhodov pred njihovo vključitvijo v SQL poizvedbe. Napadalci lahko prek specially crafted HTTP zahtevkov izvedejo SQL injection in pridobijo dostop do podatkovne baze, ki vsebuje API ključe, konfiguracijske parametre, uporabniške podatke in potencialno druge občutljive informacije. Še posebej zaskrbljujoče je dejstvo, da ranljivost ne zahteva nobene predhodne avtentikacije, kar močno razširja možno površino napada.
Varnostni raziskovalci so potrdili, da so v divjini že zaznani poskusi izkoriščanja te ranljivosti, pri čemer napadalci aktivno iščejo nezavarovane instance LiteLLM. Uspešen napad lahko organizacijam povzroči hudo finančno škodo zaradi kompromitiranih API ključev in izgube zaupnih podatkov.
Razvijalci LiteLLM so že izdali varnostni popravek, ki odpravlja CVE-2026-42208. Vsem uporabnikom platforme svetujejo takojšnjo nadgradnjo na najnovejšo različico. Poleg posodobitve strokovnjaki priporočajo tudi implementacijo dodatnih varnostnih ukrepov, vključno z omejitvijo mrežnega dostopa do LiteLLM instanc, uporabo močne avtentikacije in redno spremljanje sumljivih aktivnosti v logih.
Organizacije, ki sum
Vir: https://www.bleepingcomputer.com/news/security/hackers-are-exploiting-a-critical-litellm-pre-auth-sqli-flaw/
Originalna objava: 2026-04-28
Članek je pripravljen na osnovi tujega vira s pomočjo AI in prilagojen za slovenskega bralca.