Check Point entdeckt zwei schwerwiegende Sicherheitslücken im beliebten KI-Gateway LiteLLM

Was Check Point entdeckt hat

Die beiden Schwachstellen werden unter den Kennungen CVE-2026-35029 und CVE-2026-59823 geführt. Laut Check Point Research eröffnete jede für sich Angreifern mit einem einfachen Nutzerkonto einen Weg zu den sensibelsten Werten im KI-Stack eines Unternehmens.

LiteLLM ist weit verbreitet. Check Point nennt 97 Millionen Downloads pro Monat und mehr als 59.000 GitHub-Sterne und gibt an, das Gateway laufe in Großunternehmen, in Start-ups und in vielen Plattformen, mit denen KI-Anwendungen entwickelt werden.

• CVE-2026-35029 ist eine Schwachstelle in der Zugriffskontrolle. Sie erlaubte Nutzern mit geringen Rechten, auch solchen mit reinem Lesezugriff, administrative Aktionen auszuführen. Das führte zur vollständigen Übernahme des Systems.
• CVE-2026-59823 ist eine Server-Side-Request-Forgery-Lücke (SSRF). Sie ermöglichte es Nutzern, die ausgehenden Anfragen des Gateways umzuleiten, wodurch API-Schlüssel von KI-Anbietern offengelegt wurden.

Praktisch bedeutet das laut Check Point: Wer ein Konto auf einer verwundbaren LiteLLM-Installation besaß, konnte das Gateway übernehmen und für böswillige Zwecke nutzen.

So funktionierten die Angriffe

LiteLLM arbeitet mit einer rollenbasierten Zugriffskontrolle: Administratoren verwalten das System, andere Nutzer erhalten eingeschränkte oder reine Leserechte. Wegen CVE-2026-35029 konnten Nutzer mit minimalen Rechten auf Administratorfunktionen zugreifen, die die Kernkonfiguration des Gateways steuern. Von dort aus konnte ein Angreifer laut Check Point Dateien auf dem Server lesen, darunter Konfigurations- und Systemdateien mit sensiblen Informationen, Administrator-Zugangsdaten überschreiben und rechtmäßige Administratoren aussperren oder das Gateway anweisen, Code aus einer externen Quelle herunterzuladen und auszuführen. Dieser letzte Schritt könnte die Installation von Schadsoftware, den Abfluss von Daten oder die Ausbreitung auf andere Systeme im Netzwerk ermöglichen. Check Point Research demonstrierte jedes dieser Szenarien in einer kontrollierten Testumgebung.

CVE-2026-59823 erlaubte jedem Nutzer des Gateways, LiteLLM anzuweisen, API-Anfragen an einen vom Angreifer kontrollierten Server zu senden. Indem der Angreifer in einer Anfrage ein manipuliertes Ziel angab, brachte er das Gateway dazu, ohne jede Prüfung eine neue Route zu seinem eigenen Server anzulegen. Die umgeleiteten Anfragen enthielten die API-Schlüssel, mit denen sich LiteLLM bei KI-Anbietern authentifiziert, und lieferten diese Zugangsdaten so an den Angreifer.

Für betroffene Organisationen nennt Check Point als Folgen den Diebstahl von API-Schlüsseln, ohne dass OpenAI, Anthropic oder andere Anbieter selbst kompromittiert werden, die unbefugte Nutzung von Konten bei KI-Anbietern sowie unerwartete Kosten, die der Organisation in Rechnung gestellt werden.

Warum eine Lücke im Gateway so schwer wiegt

Ein LLM-Gateway ist die Schicht, durch die jede Anfrage der Anwendungen eines Unternehmens auf dem Weg zu einem KI-Anbieter läuft. Laut Check Point ist LiteLLM aufgrund dieser Position dafür zuständig, API-Schlüssel für alle genutzten Anbieter zu speichern, den Nutzerzugriff über Rollen und Berechtigungen zu verwalten, Prompts und Antworten zu routen sowie Nutzung und Kosten über alle Modelle hinweg zu erfassen.

Die im Gateway hinterlegten Zugangsdaten gewähren direkten, kostenpflichtigen Zugriff auf KI-Anbieter, ohne dass eine weitere Authentifizierung nötig wäre. Angesichts der Verbreitung von LiteLLM könnte eine Schwachstelle in dieser Komponente laut Check Point sehr viele KI-Installationen gleichzeitig betreffen.

Behebung und empfohlene Maßnahmen

Check Point meldete beide Schwachstellen im Rahmen eines koordinierten Offenlegungsverfahrens, das im Oktober 2025 begann, an LiteLLM. LiteLLM behob beide Probleme in Version 1.83.9, alle späteren Versionen enthalten die Korrekturen. Organisationen, die ältere Versionen betreiben, sind von beiden Lücken betroffen.

Check Point weist zudem darauf hin, dass LiteLLM mittelbar vorhanden sein kann, da es in vielen Plattformen und internen Werkzeugen zur Entwicklung von KI-Anwendungen eingebettet ist und womöglich in Umgebungen läuft, in denen es nie als eigenständiges Produkt installiert wurde. Das Unternehmen empfiehlt Nutzern Folgendes:

• Auf LiteLLM 1.83.9 oder höher aktualisieren, und zwar in jeder Umgebung, in der das Gateway läuft.
• Prüfen, wer Zugriff auf das Gateway hat, und nicht mehr benötigte Konten entfernen, da jedes Konto zum Ausnutzen der Lücken dienen konnte.
• In LiteLLM hinterlegte API-Schlüssel von KI-Anbietern austauschen, wenn es Hinweise gibt, dass Unbefugte vor dem Patchen auf das Gateway zugegriffen haben.
• Überprüfen, ob Nutzer mit eingeschränkten Rollen tatsächlich eingeschränkt sind.
• LLM-Gateways in Penetrationstests und Schwachstellenanalysen einbeziehen, neben Webanwendungen und Cloud-Infrastruktur.

Was das für die Sicherheit von KI-Infrastruktur bedeutet

Check Point betont, dass beide Schwachstellen zu gut verstandenen Klassen von Sicherheitsfehlern gehören. Aus Sicht des Unternehmens zeigt das, dass KI-Infrastruktur inzwischen denselben Risiken ausgesetzt ist, mit denen Unternehmenssoftware seit Jahren kämpft. Da Werkzeuge wie LiteLLM rasant an Verbreitung gewinnen, beobachteten Angreifer sie genau, so das Unternehmen, und Organisationen müssten ihre KI-Gateways mit derselben Sorgfalt absichern wie jedes andere geschäftskritische System.