LONDON (IT BOLTWISE) – Eine Untersuchung zu LiteLLM zeigt, dass knapp 10 % der im Februar gefundenen, öffentlich erreichbaren Gateways die Beispiel-Admin-Logindaten sk-1234 akzeptierten. Dadurch kann ein Angreifer nicht nur Provider-API-Keys auslesen, sondern in Tests sogar Cloud-IAM-Zugriffsdaten über den Instance-Metadata-Service erlangen. LiteLLM beschreibt keinen fixbaren Sicherheitsmangel für dieses konkrete Muster, weil die Ursache in der Konfiguration liegt. Entscheidend für Betreiber ist deshalb die sofortige Key-Rotation und die konsequente Netzwerk- sowie Rollenabsicherung.
Wird ein KI-Gateway wie LiteLLM falsch betrieben, kippt es vom technischen Vermittler zwischen Anwendung und Modellprovider sehr schnell in eine Art besonders attraktiven Sammelpunkt für Zugriffsrechte. Genau dieses Risiko steht im Fokus einer Analyse, die öffentlich erreichbare, internetseitig exponierte LiteLLM-Instanzen untersucht hat. Konkret geht es nicht um einen einzelnen „Zero-Day“, sondern um ein defaultfähiges Admin-Setup: In LiteLLMs eigener Anleitung wird als Beispielwert eine Administrator-„Master Key“-Kennung sk-1234 verwendet, die Betreiber vor produktivem Einsatz durch einen langen Zufallswert ersetzen sollen. In der Messung wurden 3.074 LiteLLM-Gateways auf Shodan erfasst; 294 davon akzeptierten sk-1234, also rund 9,6 %. In 191 der 294 Fälle war offenbar gar kein Key gesetzt, wodurch das System gemäß dem beschriebenen Verhalten jede Konfiguration akzeptieren konnte.
Der Problemkern liegt dabei in der doppelten Funktion des Master Keys. Er ist einerseits das Admin-Zertifikat, andererseits die eigentliche Schaltstelle, die Authentifizierung überhaupt korrekt macht. Laut Bericht gewährte ein Gateway ohne Master Key vor Version 1.82.0-stable bei eingehenden Requests automatisch vollständige Admin-Rechte. Solche Admin-Rechte sind in einem Gateway-Setup nicht nur „Benutzerverwaltung“, sondern bergen weitreichende Angriffsfläche: Das Gateway kann API-Schlüssel für mehrere Provider speichern und weiterverwenden, es sieht Prompt- und Antwortdaten im Durchlauf, und es kann über den Model Context Protocol (MCP) mit internen Tool-Backends verbunden sein. Zusätzlich läuft die Instanz in der Regel in einer Cloud-Umgebung mit den Berechtigungen des jeweiligen Workloads, wodurch ein Angreifer die privilegierte IAM-Perspektive des Systems ausnutzen kann.
Besonders brisant wird das, weil LiteLLM laut Beschreibung Pass-through-Endpunkte anbietet: Ein Admin kann eine Route anlegen, die Requests an eine beliebige Ziel-URL weiterleitet. Der entscheidende Sicherheitsunterschied besteht darin, dass diese Ziel-URL offenbar nicht gegen private Adressbereiche, localhost oder Cloud-Metadaten-Endpoints validiert wird. In den Tests konnte ein Angreifer die Route auf den Instance-Metadata-Service (IMDS) ausrichten und so die zurückgegebenen IAM-Zugangsdaten auslesen. Auch IMDSv2 verhindert in diesem Szenario nicht den Zugriff, weil das Gateway nach Dokumentationsangaben bestimmte HTTP-Header-Präfixe mit entferntem Prefix an das Ziel weiterreicht; damit ließen sich im Test die Header rekonstruieren, die IMDSv2 typischerweise verlangt. Der Bericht betont zugleich, dass keine Quelle existiert, die dieses konkrete Vorgehen bei einer realen Produktion belegt; es handle sich um eine Demonstration, die aber genau zeigt, wie schnell aus „Adminzugriff“ echte Cloud-Kompromittierung wird.
Für Betreiber wirkt das zunächst wie ein Konfigurationsfehler, nicht wie ein klassisches Vulnerability-Problem. Entsprechend ordnet LiteLLM das Risiko offenbar als „nicht im Scope“ ein, wenn Angriffe eine falsche Einrichtung voraussetzen (z. B. ein nicht gesetzter Master Key). Wiz argumentiert an anderer Stelle ähnlich, dass der Threat Model des Projekts Administratoren als vertrauenswürdig behandelt. Das erklärt, warum es kein CVE und keinen Code-Fix für das skizzierte Master-Key-Default-Design gibt. Trotzdem zeigt die Analyse, dass die Abhängigkeit von „menschlicher Disziplin“ in der Praxis nicht ausreicht: Wenn ein Beispielwert im Setup stehen bleibt, werden Gateways faktisch zu einem „Schlüsselkeller“. In der Folge reicht es bereits, dass ein Angreifer die passenden Admin-Funktionen erreicht, um Provider-Keys, Prompt-Inhalte und unter Umständen auch Cloud-Identitäten zu erlangen.
Neben diesem Master-Key-Szenario geht die Untersuchung auch auf weitere Schwachstellen ein, die leicht verwechselt werden können, obwohl sie andere Pfade betreffen. Eine davon ist CVE-2026-59821, die in zwei Darstellungen eine unterschiedliche Einstufung erfährt: Wiz beschreibt sie als „post-authentication code execution“ mit Root-Rechten im Container, während LiteLLMs Advisory sie als Low einordnet (2,1 auf der CVSS-Skala) und sie als Fehler darstellt, der einen High-Privilege-Account benötigt. Beide Seiten beschreiben demnach dieselbe Grundmechanik: Vor 1.82.0-stable überspringen bestimmte Endpunkte zum Erstellen und Aktualisieren benutzerdefinierter Code-Guardrails Sandbox- und Pattern-Checks, wodurch Python im Container laufen kann. Laut Advisory soll sich zudem ein Deployment ohne Master Key so verhalten, dass Caller als Proxy-Administratoren gelten – was die genannten Endpunkte überhaupt erreichbar macht.
Für das akute Risikobild sind außerdem ältere, bereits bekannte CVEs relevant, weil sie öffentlichkeitswirksam ausgenutzt werden. CISA hat am 2. September eine LiteLLM-Schwachstelle in das Known Exploited Vulnerabilities-Katalog aufgenommen: CVE-2026-59822 (CVSS 8,8) ermöglicht einem Angreifer das Eröffnen einer gültigen MCP-Session mit einem beliebigen Bearer Token, sogar wenn das Token nur aus einem Zeichen besteht. Wiz berichtet, es habe ab dem 7. Juli entsprechende Versuche gegen die eigenen Honeypots gesehen, ohne dass darüber hinaus weitere Nutzung beobachtet wurde. Ebenfalls im Raum steht CVE-2026-42271 (CVSS 8,7), das es einem authentifizierten Nutzer erlaubt, Befehle auf dem Host über MCP-Test-Endpunkte auszuführen. Der Bericht verweist zudem auf eine Chain mit CVE-2026-48710 (Starlette Host-Header-Fall) aus dem Juni, bei der laut Horizon3.ai sogar ohne Credentials gearbeitet werden konnte; in Wiz’ Honeypot-Aufzeichnungen wurde dabei das Installieren eines Kryptowährungs-Minereinsatzes dokumentiert.
Was die praktische Reaktion betrifft, bleibt die Stoßrichtung klar: Upgrades auf 1.84.0 oder später schließen alle genannten Lücken aus der Tabelle. Für Betreiber, die nicht sofort upgraden können, empfiehlt LiteLLM laut den beschriebenen eigenen Workarounds, bestimmte Endpunkte zu blockieren, darunter /mcp/ sowie die MCP-Test-Operationen POST /mcp-rest/test/connection und POST /mcp-rest/test/tools/list. Zusätzlich sollen Guardrails-Tests für Custom Code blockiert und die Guardrails-Operationen auf Administratoren beschränkt werden. Parallel dazu fordert die Analyse eine technische Härtung über das Netzwerk: Pass-through-Routen müssen überprüft, Outbound-Zugriff aus dem Container stark eingeschränkt und die Cloud-IAM-Rolle auf den kleinsten Funktionsumfang begrenzt werden. Falls ein Angreifer Zugriff hatte, wird nahegelegt, nicht nur Provider-Keys, sondern auch Master Key und Datenbankzugangsdaten zu rotieren und die Guardrails-Liste auf fremd konfigurierte Einträge zu prüfen; Upgrades allein entfernen solche Einträge typischerweise nicht, weil sie bereits im Systemzustand existieren. Entscheidend ist außerdem: Für den Pass-through-Mechanismus zum Instance-Metadata-Service gibt es keinen Patch, weil er als Design-/Scope-Entscheidung gilt – hier bleiben faktisch nur Outbound-Netzwerklimits und restriktive IAM-Rollen als Schutz.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "LiteLLM: Default-Admin-Key sk-1234 öffnet Cloud-IAM und erlaubt gefährliche Datenzugriffe" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "LiteLLM: Default-Admin-Key sk-1234 öffnet Cloud-IAM und erlaubt gefährliche Datenzugriffe" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »LiteLLM: Default-Admin-Key sk-1234 öffnet Cloud-IAM und erlaubt gefährliche Datenzugriffe« bei Google Deutschland suchen, bei Bing oder Google News!