The Pulse
Check Point scopre due vulnerabilità di LiteLLM che potrebbero esporre i gateway di IA
Check Point Research ha reso note due vulnerabilità di LiteLLM che potrebbero consentire agli utenti autenticati di assumere il controllo delle impostazioni del gateway o reindirizzare le richieste di IA per sottrarre le credenziali dei for
AI.info Team · Scritto con l’IA ·
«Questa singola vulnerabilità consentiva di leggere file arbitrari, assumere il controllo di un account amministratore ed eseguire codice da remoto tramite moduli Python malevoli caricati da uno spazio di archiviazione cloud.»
Gli autori di «When LLM Gateways Go Wrong: Findings from LiteLLM»
Il 13 ottobre Check Point Research ha pubblicato i dettagli di due vulnerabilità di LiteLLM, avvertendo che un utente autenticato avrebbe potuto assumere il controllo delle impostazioni del gateway o reindirizzare le richieste di IA per acquisire le chiavi dei fornitori. I ricercatori hanno testato LiteLLM nella versione 1.77.7 e hanno dichiarato che entrambe le vulnerabilità sono state corrette nella versione 1.83.9. Le loro dimostrazioni si sono svolte in un ambiente di test controllato; il rapporto non afferma che le vulnerabilità siano state sfruttate in attacchi reali.
L’assenza di una verifica del ruolo lasciava accessibile l’endpoint di configurazione
La vulnerabilità più grave, CVE-2026-35029, riguardava l’endpoint POST /config/update di LiteLLM, che può modificare impostazioni in fase di esecuzione come le variabili d’ambiente e gli elenchi dei modelli. Check Point ha scoperto che l’endpoint verificava se l’utente fosse autenticato, ma non se avesse il ruolo di amministratore. Inoltre, una regola ampia per le route delle sessioni della dashboard considerava consentite quelle che iniziavano con /config, permettendo agli utenti con privilegi limitati di raggiungere la funzione di aggiornamento.
Questo accesso avrebbe potuto consentire a un aggressore di modificare la configurazione del proxy e leggere i file accessibili al processo di LiteLLM, compresi quelli contenenti informazioni riservate. Check Point ha anche dimostrato che, modificando la configurazione, era possibile sovrascrivere le credenziali dell’amministratore o indurre LiteLLM a scaricare ed eseguire un modulo Python ospitato in uno spazio di archiviazione cloud. I ricercatori hanno usato una dimostrazione innocua che creava una directory segnaposto per confermare l’esecuzione del codice; hanno precisato che un payload malevolo avrebbe invece potuto eseguire altro codice.
Una seconda vulnerabilità poteva inviare altrove le chiavi dei fornitori
CVE-2026-59823 riguardava la funzionalità «Clientside LLM Credentials» di LiteLLM. I ricercatori hanno scoperto che chi effettuava una richiesta poteva inserire impostazioni di instradamento sotto il proprio controllo nel parametro user_config, inducendo il gateway a inviare una richiesta API a una destinazione scelta da chi aveva effettuato la richiesta. La richiesta in uscita poteva includere le credenziali dei fornitori già configurate nel gateway.
Poiché LiteLLM si colloca spesso tra le applicazioni e i fornitori di IA, una chiave sottratta potrebbe esporre un’organizzazione all’uso non autorizzato del proprio account presso un fornitore e ai relativi addebiti. Il gateway gestisce inoltre l’instradamento e le credenziali in un unico punto, perciò i suoi permessi hanno conseguenze che vanno oltre l’applicazione che invia un determinato prompt. Check Point ha dichiarato che, al momento della pubblicazione, LiteLLM contava 97 milioni di download mensili e più di 59.000 stelle su GitHub.
La versione 1.83.9 contiene le correzioni
Check Point ha dichiarato di aver avviato la divulgazione coordinata con i responsabili della manutenzione di LiteLLM nell’ottobre 2025 e che i problemi sono stati risolti nella versione 1.83.9. L’avviso del progetto su GitHub relativo a CVE-2026-59823 indica come interessate le versioni fino alla 1.83.8 inclusa e come corretta la 1.83.9. Check Point ha consigliato alle organizzazioni che usano versioni precedenti di aggiornarle e di verificare quali account possono accedere ai loro gateway.
I ricercatori hanno inoltre raccomandato di sostituire le chiavi dei fornitori memorizzate se vi sono prove di accessi non autorizzati e di controllare le installazioni di LiteLLM presenti indirettamente in altre piattaforme o strumenti interni. È un aspetto importante per i team il cui inventario software registra soltanto le installazioni autonome: un gateway può essere presente anche se nessun team lo ha consapevolmente installato come servizio separato. Il controllo da effettuare riguarda la versione in esecuzione in ogni installazione, compresi i gateway integrati negli strumenti interni.