CVE-2026-42208: Kritische SQL-Injection in LiteLLM, bereits im CISA-KEV-Katalog gelistet

CVE-2026-42208: Kritische SQL-Injection in LiteLLM, bereits im CISA-KEV-Katalog gelistet

In Kürze

Es wurde eine kritische SQL-Injection-Schwachstelle (CVE-2026-42208, CVSS 9.3) in LiteLLM bestätigt, einem weit verbreiteten Proxy, den Unternehmen nutzen, um den Zugriff auf verschiedene KI-Modelle (OpenAI und kompatible) zu zentralisieren und zu verwalten [1]. Die Schwachstelle ist im CISA-KEV-Katalog gelistet, was bestätigt, dass sie bereits aktiv im Internet ausgenutzt wird [2]. Wenn Ihr Unternehmen LiteLLM als Zugangstor zu KI-Diensten nutzt, besteht die Priorität heute darin, die installierte Version zu überprüfen und so schnell wie möglich zu aktualisieren.

Was es ist und warum es wichtig ist

LiteLLM fungiert als Vermittler zwischen Ihren Anwendungen und den Anbietern von Sprachmodellen: Es zentralisiert API-Schlüssel, ermöglicht die Prüfung der Nutzung und erleichtert den Wechsel des Anbieters, ohne den Code jeder Anwendung anfassen zu müssen. Gerade wegen dieser zentralen Position kann ein Sicherheitsfehler alles kompromittieren, was dahinterliegt: Zugangsdaten, Nutzungsverläufe und potenziell Geschäftsdaten, die diesen Proxy durchlaufen.

Laut der offiziellen Beschreibung der Schwachstelle vermischte zwischen den Versionen 1.81.16 und früher als 1.83.7 eine Datenbankabfrage, die zur Überprüfung der API-Schlüssel des Proxys verwendet wird, den vom Aufrufer übermittelten Wert direkt in den Text der Abfrage, anstatt ihn als separaten Parameter zu behandeln [1]. Dies öffnet die Tür für eine klassische SQL-Injection: Ein Angreifer kann ohne Authentifizierung einen speziell manipulierten Autorisierungs-Header an eine beliebige API-Route senden (zum Beispiel die für Chat-Anfragen verwendete) und über die Fehlerbehandlung des Proxys diese verwundbare Abfrage erreichen [1]. Das potenzielle Ergebnis ist das Lesen und möglicherweise Ändern der Daten in der Datenbank des Proxys, was zu unbefugtem Zugriff auf das System selbst und die von ihm verwalteten Zugangsdaten führen kann [1].

Es handelt sich um eine kritische Schwachstelle (Schweregrad "critical" laut NVD, CVSS 9.3) [1], veröffentlicht am 8. Mai 2026 [1], und sie ist bereits im Katalog der bekannten ausgenutzten Schwachstellen (KEV) von CISA gelistet, was auf eine bestätigte aktive Ausnutzung hinweist, nicht nur auf ein theoretisches Risiko [2].

Wen betrifft es

Es betrifft Organisationen, die LiteLLM als Proxy oder KI-Gateway (AI Gateway) in Versionen zwischen 1.81.16 und früher als 1.83.7 einsetzen [1]. Der identifizierte Anbieter ist LiteLLM [1]. Wenn Ihr Unternehmen generative KI-Tools über eine eigene Proxy-Schicht eingeführt hat, die von internen Teams oder externen Anbietern verwaltet wird, sollten Sie überprüfen, ob LiteLLM Teil dieser Architektur ist, sei es direkt oder als integrierte Komponente einer anderen Lösung.

Wie Sie feststellen, ob Sie betroffen sind

• Stellen Sie fest, ob LiteLLM in Ihrer Infrastruktur eingesetzt wird (intern, in der Cloud oder als Teil eines Drittanbieterprodukts) und welche genaue Version läuft.
• Prüfen Sie, ob diese Version im betroffenen Bereich liegt (1.81.16 bis früher als 1.83.7) [1].
• Überprüfen Sie, welche Angriffsfläche dieses Proxys im Internet oder von wenig kontrollierten Netzwerken aus zugänglich ist: Je exponierter eine API-Route ist, desto größer ist das Risiko, dass sie von einem Ausnutzungsversuch wie dem beschriebenen erreicht wird. Von OCIRIA empfehlen wir, regelmäßig zu überprüfen, welche Dienste und Ports Ihrer KI-Infrastruktur von außen sichtbar sind, was oft unbemerkt bleibt, wenn diese Tools schnell eingeführt werden, um interne Projekte zu beschleunigen.
• Überprüfen Sie die Protokolle des Proxys auf ungewöhnliche Autorisierungs-Header oder untypische Fehlermuster in den API-Routen, die auf Ausnutzungsversuche hindeuten könnten.

Wie Sie sich schützen

1. Aktualisieren Sie LiteLLM auf Version 1.83.7 oder höher, wo der Fehler behoben ist [1].

2. Wenn Sie nicht sofort aktualisieren können, beschränken Sie den Zugriff auf die API des Proxys auf vertrauenswürdige Netzwerke und Clients, während Sie den Patch anwenden.

3. Rotieren Sie die vom Proxy verwalteten Zugangsdaten und Schlüssel nach der Aktualisierung, insbesondere wenn während des Risikozeitraums eine Exposition im Internet bestand.

4. Verstärken Sie die Protokollierung und Überwachung der API-Routen des Proxys, um vergangene oder zukünftige Ausnutzungsversuche zu erkennen.

5. Dokumentieren Sie das Inventar der KI-Tools und ihrer Versionen als Teil des regulären Schwachstellenmanagements, um schneller auf die nächste ähnliche Warnung reagieren zu können.

Häufig gestellte Fragen

Ist das eine schwerwiegende Schwachstelle? Ja, sie hat den Schweregrad kritisch mit CVSS 9.3 laut NVD und ist bereits im CISA-KEV-Katalog als aktiv ausgenutzt gelistet [1][2].

Muss ich authentifiziert sein, um betroffen zu sein? Nein, laut der offiziellen Beschreibung kann ein nicht authentifizierter Angreifer die Ausnutzung über einen manipulierten Header versuchen [1].

Reicht es aus, LiteLLM zu aktualisieren? Das ist der unverzichtbare Schritt, da Version 1.83.7 den Fehler behebt [1]; kombinieren Sie dies mit der Rotation von Zugangsdaten und der Überprüfung der Exposition, um das Restrisiko zu reduzieren.

Wie erfahre ich, ob mein Unternehmen LiteLLM nutzt, ohne es zu wissen? Es ist üblich, dass diese Komponenten in andere KI-Lösungen integriert sind. Die Überprüfung des technischen Inventars und der exponierten Angriffsfläche ist der zuverlässigste Weg, um Klarheit zu erhalten.

Quellen

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-42208
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json