Cảnh báo: Gần 10% cổng LiteLLM đang sử dụng khóa quản trị mặc định ‘sk-1234’

Một nghiên cứu gần đây từ Wiz Research đã chỉ ra một lỗ hổng bảo mật nghiêm trọng trong cách triển khai LiteLLM, một cổng kết nối (AI gateway) mã nguồn mở phổ biến. Theo báo cáo, gần 1 trong số 10 máy chủ LiteLLM công khai trên internet vẫn đang sử dụng sk-1234 – khóa quản trị (admin key) mặc định được ghi trong tài liệu hướng dẫn cài đặt.

Rủi ro từ khóa mặc định

Khóa quản trị này đóng vai trò như chìa khóa vạn năng. Bất kỳ ai sở hữu nó đều có thể truy cập vào toàn bộ API key của các nhà cung cấp mô hình AI được lưu trữ trên server, đọc các prompt và phản hồi, thậm chí kết nối với các công cụ nội bộ thông qua Model Context Protocol (MCP). Nguy hiểm hơn, nếu gateway chạy với quyền hạn đám mây (cloud IAM), kẻ tấn công có thể lợi dụng để thực hiện hành vi LLMjacking, chiếm đoạt tài nguyên tính toán của nạn nhân.

Đáng chú ý, LiteLLM cho phép tạo các endpoint “pass-through” có thể chuyển tiếp yêu cầu đến bất kỳ URL nào. Nếu không được cấu hình chặn các địa chỉ nội bộ, kẻ tấn công có thể truy cập vào dịch vụ metadata của đám mây để đánh cắp thông tin xác thực IAM.

Các lỗ hổng bảo mật đáng chú ý

Ngoài vấn đề khóa mặc định, Wiz đã chỉ ra nhiều lỗ hổng khác liên quan đến việc thực thi mã từ xa và bypass cơ chế bảo mật:

• CVE-2026-59822: Lỗ hổng cho phép kẻ tấn công không cần xác thực vẫn có thể mở phiên MCP hợp lệ. CISA đã đưa lỗ hổng này vào danh mục các lỗ hổng bị khai thác thực tế (Known Exploited Vulnerabilities).
• CVE-2026-42271 & CVE-2026-48710: Chuỗi lỗ hổng cho phép kẻ tấn công thực thi lệnh trên máy chủ, từng được ghi nhận bị lợi dụng để cài đặt phần mềm đào tiền ảo.
• CVE-2026-59821 & CVE-2026-40217: Các lỗi liên quan đến việc bypass cơ chế kiểm tra guardrail và thoát khỏi sandbox, cho phép thực thi mã với quyền root trong container.

Khuyến nghị bảo mật

Để bảo vệ hệ thống, các quản trị viên cần thực hiện ngay các bước sau:

1. Thay đổi khóa quản trị: Chuyển ngay từ sk-1234 sang một chuỗi ký tự ngẫu nhiên, dài và phức tạp.
2. Cập nhật phiên bản: Nâng cấp LiteLLM lên phiên bản 1.84.0 hoặc mới hơn để vá các lỗ hổng bảo mật đã biết.
3. Cấu hình chặn truy cập: Nếu chưa thể cập nhật, hãy chặn các endpoint nhạy cảm như /mcp/, /mcp-rest/test/connection, và /guardrails/test_custom_code tại reverse proxy hoặc API gateway.
4. Giới hạn quyền hạn: Áp dụng nguyên tắc đặc quyền tối thiểu (least privilege) cho các vai trò IAM của workload và hạn chế quyền truy cập mạng outbound của container.

Microsoft khuyến cáo các tổ chức nên coi các cổng AI gateway là kho lưu trữ bí mật cấp độ Tier-0 và cần có quy trình giám sát chặt chẽ các cấu hình bất thường.

Nguồn tham khảo: The Hacker News