LiteLLM Security Fitting zur CISA-Liste hinzugefügt

Am 2. September 2026 sind drei der sieben Defizite, die dem Known Intelligence Catalog von CISA hinzugefügt wurden, direkt auf die Infrastruktur für künstliche Intelligenz ausgerichtet. Zusammen mit LiteLLM, Starlette und Kestra, der erste Fall, dass künstliche Intelligenz Komponenten fast die Hälfte in einer KEV-Partei erstellt. Die technische Struktur des Offenen in diesem Artikel folgt den Angreifern, die in den Netzwerkpassagen, mit denen sie sich befassen, und den Schritten bis zum 16. September zurückbleiben.

Wer kündigt CISA-Liste an?

Laut Ankündigung von CISA am 2. September 2026 Hinzugefügt sieben Zaffiliationen zum Katabol. Der Grund der Anlage wird mit einem einzigen Satz zusammengefasst: Es gibt einen aktiven Beweis für Missbrauch.

Laut Analyse veröffentlicht in Yahoo Finance KI-Komponenten wurden erstmals in einer KEV-Party erlebt. Die Namen in der Liste fallen in verschiedene Schichten eines Stacks für künstliche Intelligenz. Starlette ist das ASGI-Dach, das unter vLLM- und MCP-Servern steht. Kestra Workflow Editor, JFrog Artifactory befindet sich im Zentrum von Modell- und Suchtlagern.

Die letzten Daten werden durch die Richtlinie des BOD 26-04 festgelegt. Die alte 21-Tage-Single-Typ-Periode wurde entfernt; anstelle von 3, 14 oder 60-Tage-Fenstern zur Internet-Öffnung der Präsenz, der Grad der Automatisierung von Missbrauch und technische Wirkung. Die für LiteLLM und Starlette anerkannte Zeit läuft am 16. September 2026 ab.

Was ist LiteLLM Nozzle und wie funktioniert es?

CVE-2026-59822 ist auf einen Authentifizierungsfehler in BerriAI LiteLLMs Model Context Protocol-Flussenden zurückzuführen. Laut den in The Hacker News veröffentlichten Nachrichten unverschlüsselte Offensiven können sich in die ID einloggen, die mit einem passenden Bearer-Token verifiziert wurde.

Der Ursprung des Fehlers befindet sich in der OAuth2-Passage. Wenn die Schlüsselüberprüfung fehlschlägt, erzeugt der Code ein leeres Autorisierungsobjekt, anstatt den Fehler zu aktualisieren. Nächste Autorisierungsprüfungen gelten für dieses leere Objekt. Somit kann er ohne einen gültigen LiteLLM-Switch auf MCP-Tools zugreifen, die mit dem Gateway verbunden sind.

Es betrifft alle Versionen vor 1.84.0 und ging mit 1.84.0. Da sich in Unternehmensinstallationen häufig mehrere Modellanbieter und vernetzte Fahrzeuge hinter dem Gateway befinden, kann der Zugang von einem Ende aus horizontal erweitert werden. Agent Künstliche Intelligenz Das Tor in Architekturen steht bereits an einem privilegierten Punkt.

Warum ist Starlette Risk eine breitere Oberfläche?

CVE-2026-48710 ist mit dem niedrigsten CVSS-Wert in der Liste geöffnet. Die Punktzahl ist 6,5. Die Breite der Oberfläche ist groß als andere.

Starlette ist kein Produkt, das vor einem Benutzer steht. vLLM basiert auf LiteLLM und vielen MCP-Servern. Das Ergebnis sieht diese Komponenten von Teams nicht in Einkaufslisten. Die Komponente kommt als indirekte Abhängigkeit und geht nicht in den Bestand der Vermögenswerte ein.

Der Winkel selbst ist einfach: Eine Injektion in den Host-Header ermöglicht den Sprung der straßenbasierten Authentifizierungsschicht. Horizon3.ai wurde mit einem anderen LiteLLM-Defizit (CVE-2026-42271, CVSS 8.7) im Juni 2026 Analyse verkettet. Am Ende der Kette wird die Authentifizierung übersprungen und der Remotecode ausgeführt.

Der Punkt, an dem die Exposition gegenüber Punkten verschiedene Dinge gemessen hat, ist genau das. Da der Katalogeingang eine einzelne Zeile ist, trägt er diese Trennung nicht.

Was macht Saldurganlar in Netzwerk-Pässen?

Im Bericht von Microsoft vom 26. August wurden die tatsächlichen Angriffe für LiteLLM-, RAGFlow- und Kestra-Installationen dokumentiert. Basierend auf den auf eSecurity Planet veröffentlichten Nachrichten Bei diesen Angriffen werden die Erfassung von Identifikationsinformationen, die persistente Einstellung, die Öffnung der umgekehrten Shell und das Krypto-Mining zusammen gesehen.

LiteLLM wird wie folgt übertragen, wenn die Angreifer die Gateways betreten:

Miner Placement: CVE-2026-42271 und CVE-2026-48710 sind XMRig Miner durch eine ELF Dual-Datei freigegeben. Die Hauptmaschine vor der Installation erhält Fingerabdrücke und die konkurrierenden Mining-Prozesse werden beendet.

Schlüsselbefestigung: Mit den zuvor gesammelten Datenbankinformationen wird auf die PostgreSQL-Schicht hinter LiteLLM zugegriffen. Zieltabellen LiteLLM_ProxyModelTable und LiteLLM_VerificationTokenVon hier aus Modellkonfiguration, Upstream-Provider-Switches, Provider-Bits und virtuelle Schlüssel, die durch Proxy generiert werden.

Beharrlichkeit: ~/.ssh/authorized_keys Der Zugang wird dauerhaft geändert. Befehlssteuerungskanäle und Detektionsstrahlenmechanismen werden ebenfalls der Kette hinzugefügt.

Nach den Erkenntnissen von Wiz gibt es Qilin (Agenda) Ransomware-Gruppe unter den Akteuren, die diese Kette verwenden. Das gleiche Unternehmen beobachtete auch Missbrauchsversuche für CVE-2026-59822 in seinem eigenen Ballwürfelnetzwerk, Versuche zerstörten die Enden der Modellliste. Die Adresse der Gateway-Switches macht die Rechnung und die Daten mehrerer Anbieterkonten in einer Institution gleichzeitig geöffnet. Ein ähnliches Bild, Agent-unterstützter Ransomware-Angriff Ich wurde in dem Fall gesehen.

Warum unterscheiden sich Patches nach 56 Tagen?

Neben drei Komponenten der künstlichen Intelligenz wurde der Patch erstmals ohne Katalogisierung veröffentlicht. P.K. Sharmas KEV-Analyse Die Differenz zwischen Registrierungspublikation und Katalogeintrag wurde gemessen: 99 Tage für Starlette, 68 Tage für Kestra, 56 Tage für LiteLLM.

Am 2. September änderte sich nichts am Code. Die sich ändernde einzige Sache war, dass CISA nun erklärt hat, dass diese offenen missbraucht wurden. Die beiden Komponenten der Katalog-Header in der gleichen Analyse werden falsch erwähnt; der Header stammt von einem CWE, der der Definition des Datensatzes mit seiner eigenen Definition widerspricht.

Das Hauptproblem für Teams wird nicht erkannt, Inventar. Diese Komponenten werden nicht gekauft, es kommt von einem süchtig machenden Baum. Asset-Listen, die auf Kaufaufzeichnungen basieren, zeigen sie überhaupt nicht. Es bedeutet nicht, dem Katalo unbekannt zu sein, aber es bedeutet nur, dass es noch nicht erklärt wurde.

Was machen die Teams bis zum 16. September?

Der Katalog ist mit föderalen Institutionen verbunden, der Privatsektor kontextiert direkt. Die aktive Missbrauchserklärung ist ein gültiges Signal für alle.

Versionsupgrade: LiteLLM 1.84.0 und höher. Bei Starlette und Kestra sind Upstream-Fixes bereit.

Dolayed süchtig machenden Scan: Starlette arbeitet unter welchen Diensten, sollte aus dem süchtig machenden Baum entfernt werden, nicht aus den Kauflisten. vLLM- und MCP-Server werden zuerst angesehen.

Reduzierung der Internet-Öffnung: Netzwerkpassagen, MCP-Bits, Workflow-Plattformen und Management-Schnittstellen sollten geschlossen oder hinter einer Ebene mit Authentifizierung genommen werden.

Schlüsselumdrehung: In den Installationen, die wahrscheinlich installiert werden, sollten die durch Proxy generierten Provider-Switches und virtuellen Schlüssel erneuert werden. Der Schlammschalter schützt die Gültigkeit nach dem Patch.

Rückverfolgung: ~/.ssh/authorized_keys unerwartete Änderungen an, ungeöffnete Prozessornutzung und ungewöhnliche Abfragen für LiteLLM-Datenbanktabellen sollten überprüft werden.

In der gleichen Woche gab es auch Bewegungen auf SonicWall Seite. Am 4. September ruft die Singapore Cyber Security Agency dazu auf, Organisationen mit SMA 1000 zu aktualisieren. Künstliche Intelligenz Sicherheit Die kleinsten Privilegien und regelmäßige Auditempfehlungen auf der Seite schützen in diesem Fall die Gültigkeit.

Häufig gestellte Fragen

Was genau erlaubt LiteLLM Sicherheitsdefizit?

Mit CVE-2026-59822 können Sie eine MCP-Sitzung öffnen, die ohne gültigen Schlüssel verifiziert wurde. Wenn ein Fitting an ein Bearer-Token gesendet wird, übergibt OAuth2 das Switch-Backup und legt ein leeres Autorisierungsobjekt anstelle der Fehlerverifizierung. Dieses Objekt kann Fahrzeuge erreichen, die mit dem aggressiven Gateway verbunden sind, da es die nächsten Kontrollen durchläuft.

Welche LiteLLM-Version ist sicher?

1.84.0 und die nächsten Versionen sind sicher. Open betrifft alle Versionen vor 1.84.0. Wenn das Upgrade nicht für das Internet geöffnet ist und die Begrenzung des MCP mit der Zugriffsliste endet, wird eine vorübergehende Reduzierung vorgenommen.

Ich benutze Starlette nicht, kann ich trotzdem betroffen sein?

Hohe Wahrscheinlichkeit des Einflusses. Starlette ist kein direkt etabliertes Produkt, sondern ein Dach, das unter vLLM-, LiteLLM- und MCP-Servern läuft. Es erscheint nicht im Asset-Inventar, weil es sich indirekt im Suchtbaum befindet. Board Version pip list oder Sie müssen über die Sperrdatei überprüfen.

CISA-Liste verbindet Unternehmen in der Türkei?

Rechtlicher Kontext. Der Katalog gibt die Patch-Verpflichtung für die föderalen Nichtregierungsorganisationen in den USA. Die Bedeutung des Eintrags in die Liste ist universell: Es gibt Hinweise darauf, dass die Aussagen in der wilden Natur missbraucht werden. Deshalb ist es eine praktische Referenz für das Prioritätsranking.

Wie verstehe ich, dass mein Gateway erfasst ist?

Microsoft hat mehrere sich wiederholende Spuren in Angriffen dokumentiert. ~/.ssh/authorized_keys unerwartete Switches in der Datei, kontinuierliche Verwendung von hohen Prozessor und LiteLLM_ProxyModelTable mit LiteLLM_VerificationToken ungewöhnliche Abfragen für Tabellen stehen am Anfang. Invertierte Shell-Verbindungen und Datenverkehr zu den Enden, die Sie nicht kennen, sollten ebenfalls kontrolliert werden.

Die für LiteLLM und Starlette anerkannte Zeit läuft am 16. September 2026 ab. Wenn die Patches für Monate bereit sind, ist nicht klar, was in der Nähe des Datums sein wird, die Frage, dass die Schwachstelle in mehreren Institutionen noch nie in Bestand genommen wurde.