Уязвимости в популярном AI-шлюзе LiteLLM угрожают миллионам пользователей
Пользователей LiteLLM призывают немедленно установить обновления для устранения уязвимостей
Всё, что известно о событии, восходит к одному сообщению: либо публикация одна, либо остальные повторяют её или ссылаются на тот же источник.
Что произошло
Недавно исследователи в области безопасности выявили две серьезные уязвимости в широко используемом открытом решение для подключения к искусственному интеллекту под названием LiteLLM. Эти уязвимости позволяют злоумышленникам получить полный контроль над системой, красть конфиденциальные данные и запускать вредоносный код. LiteLLM предоставляет пользователям возможность подключать свои приложения к различным крупным языковым моделям через единую интерфейс, и в настоящее время поддерживает более 140 поставщиков AI, получая более 90 миллионов загрузок в месяц.
Первая уязвимость касается контроля доступа и позволяет пользователям с низкими привилегиями получать доступ к административным функциям, что может привести к тяжелым последствиям. Вторая уязвимость связана с атакой через подделку запросов на сервере, что позволяет злоумышленникам отправлять API-запросы на свои собственные сервера, получая доступ к учетным данным других организаций. Эксперты требуют от организаций обновления до версии LiteLLM 1.83.9 и ротацию потенциально экспонированных учетных данных.
Что известно
· средняя близость к цитате 80%- ◐В LiteLLM были обнаружены две уязвимости, которые позволяют злоумышленникам получить полный контроль над системой и выполнять вредоносный код.TechRadar
- ◐Первая уязвимость (CVE-2026-35029) имеет высокий уровень серьезности и позволяет пользователям с минимальными привилегиями достигать администраторских функций.TechRadar
- ◐Вторая уязвимость (CVE-2026-59823) связана с подделкой запросов на сервере и позволяет злоумышленникам направлять LiteLLM для отправки API-запросов на третьи серверы.TechRadar
- ◐Эксперты рекомендуют организациям обновить версию LiteLLM до 1.83.9 и сменить потенциально скомпрометированные учетные данные.TechRadar
- △LiteLLM имеет более 90 миллионов загрузок в месяц на GitHub и более 61 000 звезд.TechRadar
Что не подтверждено
- ?Какие действия предпринимают разработчики LiteLLM в ответ на обнаруженные уязвимости?
- ?Как пользователи могут проверить, не были ли их учетные данные скомпрометированы?
- ?Какие последствия могут возникнуть, если организации не обновят свои системы?
Что процитировано
Событие собрано по одной публикации, поэтому последовательности здесь нет — только то, что из неё процитировано.
В LiteLLM были обнаружены две уязвимости, которые позволяют злоумышленникам получить полный контроль над системой и выполнять вредоносный код.
“Security researchers recently discovered two vulnerabilities in a popular AI gateway that allowed threat actors to take complete control of the system, steal sensitive files and AI provider API keys, and execute malicious code remotely.”перевод с en
Первая уязвимость (CVE-2026-35029) имеет высокий уровень серьезности и позволяет пользователям с минимальными привилегиями достигать администраторских функций.
“The first one is an access control bug in the way LiteLLM enforces permissions. It is tracked as CVE-2026-35029 and was given a severity score of 8.7/10 (high).”перевод с en
Вторая уязвимость (CVE-2026-59823) связана с подделкой запросов на сервере и позволяет злоумышленникам направлять LiteLLM для отправки API-запросов на третьи серверы.
“The second one is a server side request forgery bug... This would deliver the credentials directly to the attackers.”перевод с en
LiteLLM имеет более 90 миллионов загрузок в месяц на GitHub и более 61 000 звезд.
“LiteLLM... has become quite popular - it has more than 90 million monthly downloads on GitHub, and more than 61,000 stars.”перевод с en
Эксперты рекомендуют организациям обновить версию LiteLLM до 1.83.9 и сменить потенциально скомпрометированные учетные данные.
“Organizations should upgrade to LiteLLM 1.83.9+ and rotate potentially exposed credentials.”перевод с en
Собрано и структурировано ИИ: связано: 1 публикация · процитировано: 1 публикация · сгруппировано: 1 домен СМИ. Ручной редактуры и модерации нет — возможны неточности.
Наверх ↑