Cảnh báo: Chuỗi lỗ hổng nghiêm trọng trong LiteLLM cho phép chiếm quyền điều khiển server AI

Các chuyên gia bảo mật tại Obsidian Security vừa công bố phát hiện về một chuỗi lỗ hổng nghiêm trọng (đạt điểm CVSS 9.9) trong LiteLLM, một gateway AI mã nguồn mở phổ biến. Chuỗi lỗ hổng này cho phép kẻ tấn công từ một tài khoản có đặc quyền thấp có thể leo thang lên quyền quản trị cao nhất (admin) và thực thi mã tùy ý trên server.

Chi tiết về chuỗi lỗ hổng

Chuỗi tấn công này bao gồm ba lỗ hổng riêng biệt:

• CVE-2026-47101 (Authorization Bypass): LiteLLM không kiểm tra trường allowed_routes khi người dùng tạo API key. Kẻ tấn công có thể tạo key với wildcard /* để truy cập vào mọi route, bao gồm cả các route dành riêng cho admin.
• CVE-2026-47102 (Privilege Escalation): Endpoint /user/update cho phép người dùng tự cập nhật thông tin cá nhân mà không kiểm soát các trường dữ liệu. Kẻ tấn công có thể tự nâng quyền của mình lên proxy_admin.
• CVE-2026-40217 (Sandbox Escape): Lỗ hổng trong tính năng Custom Code Guardrail cho phép kẻ tấn công thực thi mã Python độc hại thông qua hàm exec() không được lọc kỹ, từ đó tạo ra reverse shell.

Tác động nguy hiểm

Vì LiteLLM đóng vai trò là gateway trung gian cho hơn 100 nhà cung cấp mô hình AI, việc chiếm quyền điều khiển server đồng nghĩa với việc kẻ tấn công có thể:

• Đánh cắp toàn bộ khóa API của các dịch vụ như OpenAI, Anthropic, Gemini, Azure…
• Truy cập vào cơ sở dữ liệu, các thông tin nhạy cảm (PII), mã nguồn và lịch sử prompt/response.
• Can thiệp vào luồng dữ liệu giữa AI agent và model, cho phép giả mạo phản hồi của AI để thực hiện các hành vi độc hại mà không để lại dấu vết trong giao diện quản trị.

Khuyến nghị bảo mật

Nhà phát triển BerriAI đã phát hành bản vá trong phiên bản LiteLLM v1.83.14-stable. Người dùng cần thực hiện ngay các bước sau:

1. Cập nhật ngay lập tức: Nâng cấp lên phiên bản v1.83.14-stable hoặc mới hơn.
2. Kiểm tra hệ thống: Rà soát lại danh sách các tài khoản có quyền proxy_admin.
3. Rà soát cấu hình: Kiểm tra các Custom Code Guardrail và các callbacks được tải từ config.yaml, vì đây là nơi kẻ tấn công thường ẩn náu sau khi chiếm quyền.
4. Thay đổi thông tin xác thực: Nếu nghi ngờ hệ thống đã bị xâm nhập, hãy xoay vòng (rotate) toàn bộ khóa API của các nhà cung cấp, thông tin đăng nhập database và các token MCP.

Việc để lộ gateway AI không chỉ là vấn đề rò rỉ dữ liệu, mà còn là rủi ro về tính toàn vẹn của các tác vụ tự động hóa mà AI thực hiện. Hãy đảm bảo hệ thống của bạn được cập nhật và kiểm soát chặt chẽ.

Nguồn tham khảo: The Hacker News