FixVibe
Covered by FixVibecritical

LiteLLM starpniekservera SQL ievadīšana (CVE-2026-42208)

Kritiskā SQL injekcijas ievainojamība (CVE-2026-42208) LiteLLM starpniekservera komponentā ļauj uzbrucējiem apiet autentifikāciju vai piekļūt sensitīvai datu bāzes informācijai, izmantojot API atslēgas verifikācijas procesu.

CVE-2026-42208GHSA-r75f-5x8p-qvmcCWE-89

Ietekme

LiteLLM versijās 1.81.16–1.83.7 ir ietverta kritiska SQL injekcijas ievainojamība starpniekservera API atslēgas verifikācijas mehānismā [S1]. Veiksmīga izmantošana ļauj neautentificētam uzbrucējam apiet drošības kontroles vai veikt nesankcionētas datu bāzes darbības [S1]. Šai ievainojamībai ir piešķirts CVSS punkts 9,8, kas atspoguļo tās lielo ietekmi uz sistēmas konfidencialitāti un integritāti [S2].

Galvenais cēlonis

Ievainojamība pastāv, jo LiteLLM starpniekserveris nespēj pareizi sanitizēt vai parametrizēt atslēgu API, kas norādīta Authorization galvenē, pirms tā tiek izmantota datu bāzes vaicājumā [S1]. Tādējādi aizmugursistēmas datubāze [S3] var izpildīt galvenē iegultās ļaunprātīgas SQL komandas.

Ietekmētās versijas

  • LiteLLM: versijas 1.81.16 līdz (bet neietverot) 1.83.7 [S1].

Betona labojumi

  • Update LiteLLM: nekavējoties jauniniet pakotni litellm uz versiju 1.83.7 vai jaunāku, lai labotu injekcijas trūkumu [S1].
  • Audita datu bāzes žurnāli: pārskatiet datubāzes piekļuves žurnālus, lai atklātu neparastus vaicājumu modeļus vai neparedzētu sintakse, kas izriet no starpniekservera pakalpojuma [S1].

Atklāšanas loģika

Drošības komandas var identificēt iedarbību, izmantojot:

  • Versiju skenēšana: tiek pārbaudīta vides manifestu LiteLLM versijas ietekmētajā diapazonā (1.81.16–1.83.6) [S1].
  • Galvenes uzraudzība: LiteLLM starpniekserverī ienākošo pieprasījumu pārbaude SQL ievadīšanas modeļiem, īpaši pilnvaras laukā Authorization: Bearer [S1].