BERLIN / LONDON (IT BOLTWISE) – Eine Schwachstellenkette in LiteLLM erlaubt es mit einem Standard-User bis zum Proxy-Admin aufzusteigen und anschließend Code auf dem Gateway auszuführen. Obsidian Security bewertet die komplette Kette mit CVSS 9,9 und nennt als Gegenmaßnahme den Upgrade auf LiteLLM v1.83.14-stable oder neuer. Da das Gateway als zentrale Vermittlung zwischen Agenten und zahlreichen Modellanbietern fungiert, können Angreifer zudem Provider-Keys, entschlüsselbare Zugangsdaten sowie Prompts und Antworten kompromittieren. Der Patch reduziert damit nicht nur Datenlecks, sondern schließt auch Wege, über die Antworten in transit manipuliert werden können.
LiteLLM ist in vielen Unternehmen zur unscheinbaren, aber entscheidenden Infrastruktur geworden: Es bildet eine OpenAI-kompatible Schnittstelle, die Request- und Response-Ströme für mehr als 100 Modellanbieter bündelt. Genau diese zentrale Rolle macht die nun öffentlich beschriebene Schwachstellenkette besonders kritisch. Obsidian Security zeigt, wie aus einem Low-Privilege-Account über drei verknüpfte Lücken ein vollständiger Server-Übernahmepfad wird, inklusive Rechteausweitung und serverseitiger Code-Ausführung. Für Betreiber bedeutet das: Ein kompromittiertes Gateway ist kein isoliertes Problem, sondern ein Hebel, der zugleich Datenzugriff, Integrität und Agenten-Logik betrifft.
Im Kern startet der Angriff mit einer AuthZ-Bypass-Lücke: LiteLLM generiert für reguläre Nutzer virtuelle API-Keys, die eigentlich nur bestimmte Routen erlauben sollen. In der beschriebenen Implementierung wird ein vom Aufrufer mitgelieferter Parameter für erlaubte Routen jedoch nicht gegen die Nutzerrolle geprüft. Dadurch kann ein nicht-administrativer Nutzer einen Schlüssel erzeugen, dessen Routen-Wildcard auch Admin-Only-Handler erreichbar macht. Die Besonderheit ist dabei weniger der einzelne Fehler als die Folge: Mehrere Handler setzen implizit voraus, dass die Routenprüfung korrekt vorgelagert bereits stattgefunden hat. So wird aus einer scheinbar „kleinen“ Berechtigungsanomalie ein systematischer Einstiegspunkt für weitere Stufen.
Die nächste Stufe der Kette erreicht dann Privilegieneskalation über die User-Update-Logik. Das relevante Endpoint erlaubt es Nutzern, ihre eigenen Datensätze zu ändern, aber es beschränkt nicht zuverlässig, welche Felder dabei beschreibbar sind. Dadurch kann ein Angreifer die Rolle eines eigenen Accounts auf proxy_admin setzen. Interessant ist die Angriffsoberfläche: Ein org_admin kann dieses Verhalten über einen vorgesehenen, „legitimen“ Codepfad erreichen, während der Standard-User den Weg erst nach dem Routen-Bypass aus der ersten Lücke findet. In der Praxis wird damit das Sicherheitsmodell verschoben: statt „least privilege“ entsteht ein Pfad, der Rollenattribute als unkritische Nutzereingabe behandelt und damit Admin-Zugriff praktisch ohne echte Autorisierung ermöglicht.
Damit aber nicht genug: Die Kette führt anschließend zu einer Sandbox-Umgehung im Bereich „Custom Code Guardrail“. Hier wird Python-Code kompiliert und ausgeführt, der vom Admin bereitgestellt werden soll. Die Schwachstelle liegt in der Ausführungsumgebung: Läuft der Code so, dass kein __builtins__ gesetzt ist, injiziert Python stillschweigend die vollständige Builtins-Funktionalität. Über dieses Detail lässt sich das Sicherheitsziel „keine gefährlichen Funktionen“ faktisch unterlaufen, weil Funktionen wie __import__, Dateioperationen und eval verfügbar werden. Eine schlichte payload-basierte Ausnutzung reicht dann für eine Reverse-Shell. Zusätzlich wird ein separater Weg beschrieben, der über ein Playground-Endpoint einen Regex-Denylist-Ansatz über Bytecode-Manipulation aushebelt und ebenfalls in serverseitige Code-Ausführung mündet.
Für Angreifer ist der Nutzen besonders hoch, weil LiteLLM an einer „Chokepoint“-Position sitzt. Bei erfolgreicher Übernahme fallen nicht nur Serverzugriff und Datenbankkonnektivität an, sondern auch alle vom Proxy gehaltenen Provider-Keys. Kritisch ist zudem, dass Provider- und Zugangsschlüssel in Konfiguration oder Environment typischerweise unverschlüsselt vorliegen, während Keys in der Datenbank zwar verschlüsselt sind, aber durch den passenden Salt entschlüsselbar werden. Darüber hinaus werden sämtliche Durchreichungen sichtbar: Prompts, Responses und damit häufig PII, interne Tickets, Quellcode-Snippets oder gespeicherte Secrets. Wenn das Gateway zusätzlich als Model-Context-Protocol- oder Agent-Gateway agiert, kommen OAuth-Tokens und Tool-Credentials in den Risiko-Umfang.
Die schärfere Konsequenz zeigt Obsidian Security weniger als klassische Prompt-Injection, sondern als Integritätsangriff auf Agenten-Workflows. Über ein Callback-Extension-Mechanismus, der nicht im Admin-UI sichtbar sein soll, kann ein Angreifer auf jeder Anfrage eine eigene Logik einschleusen: Er ersetzt die Modellantwort durch eine gefälschte Tool-Call-Struktur und modifiziert den Kontext so, dass nachgelagerte Safety-Checks die Aktion fälschlich als genehmigt interpretieren. Damit wird die eigentliche Vertrauenskette gebrochen: Nicht „das Modell lügt“, sondern das Gateway liefert manipulierte Ergebnisse an den Agenten. Zusätzlich existiert neben der Kette ein weiterer Entwurfsweg zu Code-Ausführung: MCP-Unterstützung kann stdio MCP-Server als lokale Subprozesse starten, und ein proxy_admin erreicht diese Funktionalität gezielt.
Für die Marktbewegung ist das ein Signal, weil LiteLLM stellvertretend für eine gesamte Gateway- und Orchestrierungs-Schicht steht, die in den letzten Jahren massiv gewachsen ist. Anbieter und Plattformen wie OpenRouter, Helicone oder selbst Implementierungen auf Basis von selbstgehosteten Reverse Proxys versuchen, ähnliche „ein Interface für viele Modelle“-Ziele zu erreichen, unterscheiden sich jedoch in ihren Sicherheitsannahmen und Isolationstechniken. Wie Security-Analysten in aktuellen Branchen-Reviews betonen, werden solche Gateways zunehmend zum strategischen Angriffsziel, weil sie Credentials, Observability-Daten und Agentenaktionen bündeln. Die eigentliche Frage lautet daher nicht nur „welcher Patch wirkt“, sondern „wie gut sind Gateways gegen Kettenfehler abgesichert“: Korrekte AuthZ-Entscheidungen, feldgranulare Autorisierung, robustes Sandboxing und Integritätsprüfungen gehören zusammen.
Die praktische Gegenstrategie ist klar, aber erfordert Disziplin: Betreiber sollten auf LiteLLM v1.83.14-stable oder eine spätere Version upgraden, da dort das vollständige Fix-Set für die gesamte CVE-Kette enthalten sein soll. Anschließend folgt ein Audit der Kontenrollen: proxy_admin ist faktisch Host-level Access und muss entsprechend streng abgesichert werden, inklusive Verifizierung, wer diese Rolle besitzt und wie sie verteilt wurde. Ebenso sollten alle Custom-Code-Guardrails überprüft werden, insbesondere Guardrails und Konfigurationsbereiche, aus denen Code ausgeführt wird. Da Callbacks offenbar aus config.yaml unter litellm_settings.callbacks geladen werden können und nicht im UI sichtbar sind, müssen auch diese Integrität und Herkunft geprüft werden. Falls ein Risiko vermutet wird, rät die Analyse zur Rotation von Provider-Keys, Datenbankzugängen und gespeicherten MCP-Tokens.
Für die Zukunft impliziert die Meldung eine Verschiebung in den Architekturprinzipien: Gateways müssen nicht nur „Daten durchreichen“, sondern konsistente Sicherheitsgrenzen schaffen, die auch bei einem einzelnen Fehler nicht kollabieren. Historisch wurden ähnliche Probleme in API-Gateways häufig unterschätzt, bis Angriffe Ketten aus „kleinen“ Autorisierungs- oder Sandbox-Fehlern nutzten. Das aktuelle Beispiel zeigt, dass Vertrauen zwischen Schichten nie stillschweigend angenommen werden darf: Die Routenprüfung darf nicht als „done elsewhere“ behandelt werden, Handler müssen ihre Autorisierung selbst verifizieren, und Sandbox-Mechanismen müssen gegen Sprach- und Laufzeitdetails robust sein. Wer jetzt handelt, gewinnt gegenüber dem Wettbewerbsdruck: Entwickler können Gateways sicherer in Produktion bringen, ohne dass Prompts, Keys und Agentenaktionen als Nebenprodukt des Betriebs permanent angreifbar bleiben.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "LiteLLM-Patch schließt CVE-Kette: Angriff von Admin bis Code-Execution" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "LiteLLM-Patch schließt CVE-Kette: Angriff von Admin bis Code-Execution" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »LiteLLM-Patch schließt CVE-Kette: Angriff von Admin bis Code-Execution« bei Google Deutschland suchen, bei Bing oder Google News!