FixVibe
Covered by FixVibecritical

LiteLLM proksi-server SQL in'ektsiyasi (CVE-2026-42208)

LiteLLM proksi-komponentidagi muhim SQL in'ektsiya zaifligi (CVE-2026-42208) buzg'unchilarga API kalitni tekshirish jarayonidan foydalanib, autentifikatsiyani chetlab o'tish yoki maxfiy ma'lumotlar bazasi ma'lumotlariga kirish imkonini beradi.

CVE-2026-42208GHSA-r75f-5x8p-qvmcCWE-89

Ta'sir

LiteLLM 1.81.16 dan 1.83.7 gacha versiyalarida proksi-serverning API kalitini tekshirish mexanizmi [S1] ichida muhim SQL in'ektsiya zaifligi mavjud. Muvaffaqiyatli ekspluatatsiya autentifikatsiya qilinmagan tajovuzkorga xavfsizlik boshqaruvlarini chetlab o'tish yoki ruxsatsiz ma'lumotlar bazasi operatsiyalarini bajarish imkonini beradi [S1]. Ushbu zaiflikka CVSS 9,8 balli berilgan, bu uning tizim maxfiyligi va yaxlitligiga yuqori ta'sirini aks ettiradi [S2].

Asosiy sabab

Zaiflik LiteLLM proksi-server [S1] maʼlumotlar bazasi soʻrovida ishlatishdan oldin API kalitini Authorization sarlavhasida koʻrsatilgan API kalitini toʻgʻri sanitarizatsiya qila olmagani yoki parametrlashtira olmagani uchun mavjud. Bu sarlavhaga kiritilgan zararli SQL buyruqlarini [S3] backend ma'lumotlar bazasi tomonidan bajarilishiga imkon beradi.

Ta'sir qilingan versiyalar

  • LiteLLM: 1.81.16 dan 1.83.7 [S1] gacha (lekin shu jumladan emas) versiyalari.

Beton tuzatishlar

  • LiteLLM-ni yangilash: [S1] in'ektsiya nuqsonini tuzatish uchun litellm paketini darhol 1.83.7 yoki undan keyingi versiyaga yangilang.
  • Maʼlumotlar bazasi jurnallarini tekshirish: [S1] proksi-servisdan kelib chiqadigan noodatiy soʻrov naqshlari yoki kutilmagan sintaksis uchun maʼlumotlar bazasiga kirish jurnallarini koʻrib chiqing.

Aniqlash mantig'i

Xavfsizlik guruhlari ta'sirlanishni quyidagilar orqali aniqlashlari mumkin:

  • Versiyani skanerlash: Zararlangan diapazondagi (1.81.16 dan 1.83.6 gacha) [S1] doirasidagi LiteLLM versiyalari uchun muhitni tekshirishda.
  • Sarlavha monitoringi: Authorization: Bearer token maydonida [S1] ichida SQL in'ektsiya naqshlari uchun LiteLLM proksi-serveriga kiruvchi so'rovlarni tekshirish.