FixVibe
Covered by FixVibecritical

LiteLLM-i puhverserveri SQL-i süstimine (CVE-2026-42208)

LiteLLM-i puhverserveri komponendi kriitiline SQL-i süstimise haavatavus (CVE-2026-42208) võimaldab ründajatel autentimisest mööda minna või pääseda juurde tundlikule andmebaasi teabele, kasutades ära võtme kinnitamise protsessi API.

CVE-2026-42208GHSA-r75f-5x8p-qvmcCWE-89

Mõju

LiteLLM-i versioonid 1.81.16–1.83.7 sisaldavad puhverserveri võtme kinnitusmehhanismis API [S1] kriitilist SQL-i sisestamise haavatavust. Edukas ärakasutamine võimaldab autentimata ründajal turvakontrollidest mööda minna või teha volitamata andmebaasitoiminguid [S1]. Sellele haavatavusele on määratud CVSS-i skoor 9,8, mis peegeldab selle suurt mõju süsteemi konfidentsiaalsusele ja terviklikkusele. [S2].

Algpõhjus

Haavatavuse põhjus on see, et LiteLLM-i puhverserver ei suuda enne andmebaasipäringus [S1] päises Authorization sisalduvat võtit API korralikult desinfitseerida ega parameetritega muuta. See võimaldab taustaandmebaasis [S3] käivitada päisesse manustatud pahatahtlikud SQL-käsud.

Mõjutatud versioonid

  • LiteLLM: versioonid 1.81.16 kuni (kuid mitte kaasa arvatud) 1.83.7 [S1].

Betooniparandused

  • Uuenda LiteLLM: viige pakett litellm kohe üle versioonile 1.83.7 või uuemale, et parandada süstimisviga [S1].
  • Audi andmebaasi logid: vaadake üle andmebaasi juurdepääsulogid ebatavaliste päringumustrite või ootamatute süntaksite osas, mis pärinevad puhverserveri teenusest [S1].

Tuvastamisloogika

Turvameeskonnad saavad kokkupuute tuvastada järgmiselt:

  • Versioonide skannimine: LiteLLM-i versioonide keskkonna manifestide kontrollimine mõjutatud vahemikus (1.81.16–1.83.6) [S1].
  • Päise jälgimine: LiteLLM-i puhverserverile sissetulevate päringute kontrollimine SQL-i sisestamise mustrite osas konkreetselt loaväljal Authorization: Bearer [S1].