प्रभाव
LiteLLM आवृत्त्या 1.81.16 ते 1.83.7 मध्ये प्रॉक्सीच्या API की पडताळणी यंत्रणा [S1] अंतर्गत एक गंभीर SQL इंजेक्शन भेद्यता आहे. यशस्वी शोषणामुळे अनधिकृत आक्रमणकर्त्याला सुरक्षा नियंत्रणे बायपास करण्याची किंवा अनधिकृत डेटाबेस ऑपरेशन्स [S1] करण्याची परवानगी मिळते. या भेद्यतेला 9.8 चा CVSS स्कोअर नियुक्त केला आहे, जो सिस्टीमच्या गोपनीयतेवर आणि अखंडतेवर उच्च प्रभाव दर्शविते [S2].
मूळ कारण
असुरक्षा अस्तित्वात आहे कारण LiteLLM प्रॉक्सी API की डेटाबेस क्वेरी [S1] मध्ये वापरण्यापूर्वी Authorization हेडरमध्ये प्रदान केलेली API की योग्यरित्या स्वच्छ करण्यात किंवा पॅरामीटराइज करण्यात अयशस्वी झाली. हे बॅकएंड डेटाबेस [S3] द्वारे हेडरमध्ये एम्बेड केलेल्या दुर्भावनापूर्ण SQL आदेशांना कार्यान्वित करण्यास अनुमती देते.
प्रभावित आवृत्त्या
- LiteLLM: आवृत्त्या 1.81.16 पर्यंत (परंतु समाविष्ट नाही) 1.83.7 [S1].
ठोस निराकरणे
- LiteLLM अपडेट करा:
litellmपॅकेज 1.83.7 किंवा नंतरच्या आवृत्तीवर ताबडतोब श्रेणीसुधारित करा. - डेटाबेस लॉगचे ऑडिट करा: प्रॉक्सी सेवे [S1] मधून उद्भवलेल्या असामान्य क्वेरी पॅटर्न किंवा अनपेक्षित सिंटॅक्ससाठी डेटाबेस प्रवेश लॉगचे पुनरावलोकन करा.
शोध तर्क
सुरक्षा संघ याद्वारे एक्सपोजर ओळखू शकतात:
- आवृत्ती स्कॅनिंग: प्रभावित श्रेणीतील LiteLLM आवृत्त्यांसाठी (1.81.16 ते 1.83.6) [S1] चे वातावरण तपासणे प्रकट होते.
- हेडर मॉनिटरिंग: विशेषत:
Authorization: Bearerटोकन फील्ड [S1] मध्ये SQL इंजेक्शन पॅटर्नसाठी LiteLLM प्रॉक्सीकडे येणाऱ्या विनंत्यांचे निरीक्षण करणे.