اثر
LiteLLM ورژن 1.81.16 سے لے کر 1.83.7 تک پراکسی کے API کلیدی تصدیق کے طریقہ کار [S1] کے اندر ایک اہم SQL انجیکشن کمزوری پر مشتمل ہے۔ کامیاب استحصال ایک غیر تصدیق شدہ حملہ آور کو سیکیورٹی کنٹرولز کو نظرانداز کرنے یا غیر مجاز ڈیٹا بیس آپریشنز [S1] کو انجام دینے کی اجازت دیتا ہے۔ اس خطرے کو 9.8 کا CVSS سکور دیا گیا ہے، جو سسٹم کی رازداری اور سالمیت [S2] پر اس کے اعلیٰ اثرات کو ظاہر کرتا ہے۔
بنیادی وجہ
خطرہ موجود ہے کیونکہ LiteLLM پراکسی API کلید کو ڈیٹا بیس استفسار [S1] میں استعمال کرنے سے پہلے Authorization ہیڈر میں فراہم کردہ کلید کو صحیح طریقے سے صاف کرنے یا پیرامیٹرائز کرنے میں ناکام ہے۔ یہ بیک اینڈ ڈیٹا بیس [S3] کے ذریعہ ہیڈر میں سرایت شدہ نقصان دہ SQL کمانڈز کو انجام دینے کی اجازت دیتا ہے۔
متاثرہ ورژن
- LiteLLM: ورژن 1.81.16 تک (لیکن شامل نہیں) 1.83.7 [S1]۔
ٹھوس اصلاحات
- LiteLLM کو اپ ڈیٹ کریں:
litellmپیکج کو فوری طور پر ورژن 1.83.7 یا بعد کے ورژن میں اپ گریڈ کریں تاکہ انجیکشن کی خرابی [S1] کو ٹھیک کریں۔ - ڈیٹا بیس لاگز کا آڈٹ کریں: پراکسی سروس [S1] سے شروع ہونے والے غیر معمولی سوالات کے نمونوں یا غیر متوقع ترکیب کے لیے ڈیٹا بیس تک رسائی کے لاگز کا جائزہ لیں۔
کھوج کی منطق
سیکورٹی ٹیمیں نمائش کی شناخت کر سکتی ہیں:
- ورژن اسکیننگ: متاثرہ رینج (1.81.16 سے 1.83.6) [S1] کے اندر LiteLLM ورژن کے لیے ماحول کی جانچ پڑتال ظاہر ہوتی ہے۔
- ہیڈر مانیٹرنگ: SQL انجیکشن پیٹرن کے لیے LiteLLM پراکسی کو آنے والی درخواستوں کا معائنہ کرنا خاص طور پر
Authorization: Bearerٹوکن فیلڈ [S1] کے اندر۔