黑客利用LiteLLM管理API漏洞，窃取机密并攻击AI网关服务器

攻击者正在积极探测LiteLLM AI网关部署中一个已知的授权漏洞，该漏洞可将低权限账户提升为完全管理控制权。

该漏洞编号为CVE-2026-35029，影响1.83.0之前的LiteLLM版本，允许已认证用户无需管理员角色即可访问敏感的/config/update端点。

LiteLLM作为企业应用与模型提供商之间的AI网关，可存储提供商API密钥、数据库连接信息、用户数据、消费记录及管理凭证。这使得暴露在外的LiteLLM控制平面成为攻击者觊觎云凭证、AI服务密钥或渗透连接基础设施的重要目标。该漏洞源于/config/update API路由缺少授权检查。

Part01

漏洞利用方式

在受影响版本中，拥有受限权限的已认证账户（例如只读的proxy_admin_viewer角色）即可修改仅限管理员可更改的设置。LiteLLM在1.83.0版本中修复了该问题，要求配置变更必须具备proxy_admin角色。

研究人员观察到攻击者利用该漏洞修改环境变量和配置值。其中一种手法是更改UI_LOGO_PATH设置——该设置用于指定仪表盘Logo文件路径。攻击者将正常图片路径替换为敏感的服务器端文件路径（如/app/.env或/proc/self/environ），即可诱使LiteLLM读取该文件。

文件内容随后可通过/get_image端点获取。据报道，在存在漏洞的部署中，该端点无需认证即可访问。

这一手法可暴露存储在环境文件和配置文件中的机密信息，包括模型提供商API密钥、LiteLLM主密钥、数据库URL、AWS凭证以及可观测性平台令牌。

该漏洞还可用于覆盖UI_USERNAME和UI_PASSWORD环境变量，使攻击者能够替换仪表盘凭证并接管管理界面。

Part02

安全影响与实际攻击活动

安全影响不仅限于数据窃取。安全公告指出，攻击者可通过篡改配置注册恶意的透传端点处理器。此类处理器可指向攻击者控制的代码或基础设施，从而为远程代码执行或机密外泄创造通道。

根据Zenity蜜罐遥测数据，2026年2月至6月期间，针对LiteLLM管理API端点的请求约有3,900次，其中约1,000次针对/config/update。

首次配置更新探测出现在4月7日，即CVE-2026-35029公开披露的次日。研究人员随后发现直接的任意文件读取载荷，试图加载常见的机密文件位置，包括/app/.env、/home/litellm/.env、/app/config.yaml和/app/proxy_server_config.yaml。

攻击活动还包括尝试猜测主密钥（如sk-1234和sk-litellm-master-key）、生成新的API密钥、创建管理员账户、枚举用户和密钥、探测SCIM配置路由以及删除模型。

这些行为表明，威胁行为者并非仅仅在扫描该CVE漏洞，而是在对暴露的AI网关环境进行系统测绘并试图取得控制权。

Part03

防护建议

使用LiteLLM的组织应立即升级至1.83.0或更高版本。该版本为/config/update添加了缺失的授权校验。

管理员还应将LiteLLM控制平面服务从公网暴露中移除，将管理界面和管理端点置于经过认证的反向代理或内部网络之后，并确保配置了高强度且唯一的主密钥。严禁使用默认值或文档示例值。

安全团队应审查日志中针对/config/update、/get_image、/key/generate、/user/new、/model/delete和/scim/的可疑请求。将UI_LOGO_PATH设置为本地文件路径的请求应视为高度可疑的利用尝试。

最后，曾在1.83.0之前版本中暴露过LiteLLM的组织应轮换所有可能泄露的机密信息，包括LiteLLM主密钥、LLM提供商API密钥、数据库密码、云凭证以及第三方监控令牌——该漏洞可通过配置篡改和任意文件读取暴露这些敏感数据。