Check Point Research обнаружила две уязвимости высокого риска в LiteLLM, шлюзе LLM с открытым исходным кодом, который организации используют для подключения своих приложений к поставщикам ИИ, таким как OpenAI, Google и Anthropic. Имея 97 миллионов загрузок в месяц и более 59 000 звезд на GitHub, LiteLLM работает внутри крупных предприятий, стартапов и многих платформ, используемых для создания приложений ИИ.
Основные выводы
- Check Point Research обнаружила две уязвимости высокого риска в LiteLLM, отслеживаемые как CVE-2026-35029 и CVE-2026-59823.
- CVE-2026-35029 позволяла любому пользователю, включая тех, у кого есть доступ только для чтения, получить доступ к административным функциям и захватить управление шлюзом.
- CVE-2026-59823 позволяла злоумышленникам перенаправлять запросы шлюза на свой собственный сервер и перехватывать ключи API поставщиков ИИ.
- Check Point Research продемонстрировала полный захват системы, доступ к файлам, кражу учетных данных и удаленное выполнение кода в контролируемой тестовой среде.
- Обе уязвимости исправлены в LiteLLM версии 1.83.9 и выше, и организациям, использующим более ранние версии, следует немедленно обновиться.
Что именно обнаружила Check Point Research в LiteLLM?
Check Point Research выявила две отдельные уязвимости в LiteLLM, которые по отдельности давали злоумышленнику с базовой учетной записью пользователя путь к наиболее конфиденциальным активам в стеке ИИ организации.
- CVE-2026-35029 — ошибка контроля доступа, позволявшая пользователям с низкими привилегиями выполнять административные действия, что приводило к полному захвату системы.
- CVE-2026-59823 — ошибка подделки запросов на стороне сервера (SSRF), позволявшая пользователям перенаправлять исходящие запросы шлюза, раскрывая ключи API поставщиков ИИ.
На практике любой, у кого есть учетная запись в уязвимом развертывании LiteLLM, мог захватить шлюз и использовать его в злонамеренных целях. Check Point ответственно раскрыла обе проблемы разработчикам LiteLLM, и они были устранены в версии LiteLLM 1.83.9 и выше.
Почему уязвимость в LiteLLM настолько значима?
LiteLLM функционирует как шлюз LLM — уровень, через который проходит каждый запрос от приложений организации на пути к поставщику ИИ. Эта позиция возлагает на него ответственность за:
- Хранение ключей API для каждого поставщика ИИ, используемого организацией
- Управление доступом пользователей через роли и разрешения
- Маршрутизацию промптов и ответов между приложениями и поставщиками
- Отслеживание использования и затрат по моделям
Учетные данные, хранящиеся в шлюзе, обеспечивают прямой, оплачиваемый доступ к поставщикам ИИ без необходимости дополнительной аутентификации. Учитывая масштаб внедрения LiteLLM, ошибка в этом компоненте потенциально может затронуть очень большое количество развертываний ИИ одновременно.
Что такое CVE-2026-35029?
CVE-2026-35029 — это уязвимость контроля доступа в том, как LiteLLM обеспечивает соблюдение разрешений. LiteLLM использует управление доступом на основе ролей, где администраторы управляют системой, а другие пользователи получают ограниченный доступ или доступ только для чтения. Из-за этой ошибки пользователи с минимальными привилегиями могли получить доступ к административным функциям, управляющим основной конфигурацией шлюза. Оттуда злоумышленник мог:
- Читать файлы, хранящиеся на сервере, включая файлы конфигурации и системные файлы, содержащие конфиденциальную информацию
- Перезаписывать учетные данные администратора своими собственными, блокируя доступ законным администраторам к системе
- Давать указание шлюзу загружать и выполнять код из внешнего источника, что позволяет устанавливать вредоносное ПО, похищать данные или перемещаться по другим системам в сети
Check Point Research продемонстрировала каждый из этих результатов в контролируемой тестовой среде.
Что такое CVE-2026-59823?
CVE-2026-59823 — это уязвимость подделки запросов на стороне сервера, которая позволяла любому пользователю шлюза направлять LiteLLM на отправку запросов API на сервер, находящийся под контролем злоумышленника. Указывая вредоносный пункт назначения в запросе, злоумышленник заставлял шлюз создавать новый маршрут к своему собственному серверу без его проверки. Перенаправленные запросы содержали ключи API, которые LiteLLM использует для аутентификации у поставщиков ИИ, передавая эти учетные данные прямо злоумышленнику. Последствия для затронутых организаций включают:
- Кражу ключей API поставщиков ИИ без какого-либо взлома OpenAI, Anthropic или других поставщиков
- Несанкционированное использование учетных записей организации у поставщиков ИИ
- Непредвиденные расходы, выставленные организации
Затронута ли моя организация?
Организации, использующие версии LiteLLM ниже 1.83.9, подвержены обеим уязвимостям. Командам безопасности также следует проверить, не используется ли LiteLLM косвенно, поскольку он встроен во многие платформы и внутренние инструменты, используемые для создания приложений ИИ, и может присутствовать в средах, где он никогда не развертывался как отдельный продукт.
Выпустил ли LiteLLM исправление?
Да. Check Point сообщила об обеих уязвимостях разработчикам LiteLLM в рамках процесса скоординированного раскрытия информации, который начался в октябре 2025 года. LiteLLM устранила CVE-2026-35029 и CVE-2026-59823 в версии 1.83.9, и все последующие версии включают эти исправления.
Что должны сделать пользователи LiteLLM прямо сейчас?
- Обновитесь до версии LiteLLM 1.83.9 или выше в качестве приоритетной задачи во всех средах, где работает шлюз.
- Проверьте, у кого есть доступ к вашему шлюзу. Поскольку любая учетная запись может быть использована для эксплуатации этих уязвимостей, проведите аудит учетных записей пользователей и удалите те, которые больше не нужны.
- Смените ключи API поставщиков ИИ, хранящиеся в LiteLLM, если есть какие-либо признаки того, что к шлюзу обращались неавторизованные пользователи до исправления.
- Проверьте разрешения на практике. Убедитесь, что пользователи с ограниченными ролями действительно ограничены, поскольку разрыв между настроенными и фактически применяемыми разрешениями — это то место, где такие ошибки, как CVE-2026-35029, наносят наибольший ущерб.
- Включите шлюзы LLM в оценки безопасности, расширив тестирование на проникновение и оценку уязвимостей, чтобы охватить инструменты ИИ наряду с веб-приложениями и облачной инфраструктурой.
Что означает это раскрытие информации для безопасности инфраструктуры ИИ?
Обе уязвимости относятся к хорошо известным классам ошибок безопасности, что показывает, что инфраструктура ИИ теперь подвержена тем же рискам, с которыми корпоративное программное обеспечение сталкивается уже много лет. По мере того как такие инструменты, как LiteLLM, быстро внедряются, злоумышленники уделяют им пристальное внимание, и организациям необходимо защищать свои шлюзы ИИ с той же строгостью, которую они применяют к любой другой критически важной бизнес-системе.
Чтобы ознакомиться с полными техническими выводами, перейдите к публикации Check Point Research here.
