Fast jedes zehnte von Wiz gescannte öffentliche LiteLLM-Gateway akzeptierte sk-1234, den Beispiel-Master-Key aus der Doku

Urteil: Wenn Ihr LiteLLM-Gateway aus dem Internet erreichbar ist, ändern Sie heute seinen Master-Key und aktualisieren Sie danach auf 1.84.0 oder neuer. Der Key-Wechsel ist eine Konfigurationsänderung, kein Upgrade, und er "schließt jeden Pfad in Wiz' Bericht, der den Besitz des Keys voraussetzt", wie The Hacker News schreibt. Unser Verzeichnis bewertet LiteLLM mit Bedingt, und die Bedingung ist genau diese Art von Sicherheitsdisziplin. Dieser Bericht ist der Grund, warum es sie gibt.

Was ist passiert

Wiz Research hat am 9. September 2026 "Off Guard: Breaking LiteLLM from authentication bypass to cloud compromise" veröffentlicht.

Die 9,6 % beschreiben die Stichprobe vom Februar, nicht das heutige Internet. Lesen Sie die Zahl als Maß für die Gewohnheit, nicht als aktuelle Zählung.

Derselbe Bericht behandelt davon unabhängige Schwachstellen, die jeweils in einem eigenen Release behoben sind:

Jede Fix-Version in Wiz' Tabelle ist 1.84.0 oder älter, also deckt 1.84.0 oder neuer alle drei ab. The Hacker News nennt zwei weitere, CVE-2026-42271 (Befehlsausführung über MCP, behoben in 1.83.7) und CVE-2026-40217 (Sandbox-Escape, behoben in 1.83.10), die ebenfalls von 1.84.0 abgedeckt werden.

Warum es wichtig ist

Der Master-Key ist das ganze Gateway. "LiteLLM kann API-Keys für jeden konfigurierten LLM-Anbieter vorhalten, jeden durchlaufenden Prompt und jede Antwort verarbeiten und sich über MCP mit externen Tools verbinden", schreibt Wiz. Wiz zeigte, wie die Pass-through-Funktion den AWS-Metadatendienst erreichte, um IAM-Credentials abzugreifen; The Hacker News fasst zusammen, dass der Key in Wiz' Tests "auch die Cloud-IAM-Credentials der Maschine erreichte, auf der das Gateway läuft". Ein geleakter Gateway-Key öffnet die Tür zu jeder Anbieterrechnung und womöglich zum Cloud-Account des Hosts.

Der Standardwert stammt aus der Doku. Wiz: "Die Dokumentation von LiteLLM verwendet sk-1234 als Beispiel-Master-Key in Quickstart-Guides, Docker-Compose-Beispielen und Konfigurations-Tutorials in der gesamten Doku." Laut The Hacker News verwendete die Setup-Anleitung ihn am 9. September noch, direkt über einem Kommentar, der Betreiber auffordert, ihn zu ersetzen. Bis zum 23. September hatte der Docker-Quick-Start von LiteLLM ihn gestrichen und erzeugt den Key nun mit openssl rand -hex 32. Ein nach der älteren Anleitung aufgesetztes Gateway behält sk-1234, bis jemand ihn ändert. Die Sicherheitsrichtlinie von LiteLLM führt Angriffe, die einen Einrichtungsfehler voraussetzen, als "ausdrücklich nicht im Scope". Im Klartext: Das ist Ihr Konfigurationsproblem, und niemand upstream repariert ein ausgerolltes Gateway für Sie.

Eine zweite, unabhängige Warnung. Anthropics Threat-Report vom September 2026 berichtet, "mehrere Akteure wurden dabei beobachtet, wie sie die LiteLLM-Implementierung von KI-Wrapper-Diensten kompromittierten"; diese nutzten Prompt Injection, "um die produktiven API-Keys abzugreifen". Anderer Angriffsweg, dasselbe Ziel.

Was sich für Sie ändert

1. Ersetzen Sie sk-1234 durch einen langen, zufälligen Master-Key. Kein Upgrade nötig.
2. Aktualisieren Sie auf LiteLLM 1.84.0 oder neuer, das jede Schwachstelle in Wiz' Tabelle abdeckt.
3. Noch kein Upgrade möglich? Blockieren Sie /mcp/, POST /mcp-rest/test/connection und POST /mcp-rest/test/tools/list an Ihrem Reverse Proxy oder API-Gateway. Blockieren Sie POST /guardrails/test_custom_code und beschränken Sie POST /guardrails und PUT /guardrails/{guardrail_id} auf Administratoren.
4. Härten Sie den Host. Prüfen Sie die Pass-through-Endpunkte, schränken Sie den ausgehenden Netzwerkverkehr des Containers ein und geben Sie dem Workload eine IAM-Rolle nach dem Least-Privilege-Prinzip.
5. Falls ein Angreifer Zugriff gehabt haben könnte, prüfen Sie die Guardrails-Liste auf Einträge, die Sie nicht angelegt haben, starten Sie den Prozess neu, um im Speicher gehaltenen Code zu entfernen, und rotieren Sie dann die Anbieter-Keys, den Master-Key und die Datenbank-Credentials.

Sie überlegen, ob Sie überhaupt selbst ein Gateway hosten sollten? Siehe LiteLLM vs. OpenRouter: Ein Gateway, das Sie selbst betreiben, bringt genau diesen Härtungsaufwand mit; eines, das Sie mieten, nicht.

FAQ

Muss ich LiteLLM aktualisieren, um den Master-Key zu ändern? Nein. Es ist eine Konfigurationsänderung, und sie schließt jeden Pfad in Wiz' Bericht, der den Besitz des Keys voraussetzt.

Welche LiteLLM-Version behebt die offengelegten Schwachstellen? 1.84.0 oder neuer deckt jede Schwachstelle in Wiz' Tabelle ab, einschließlich CVE-2026-59822, der Umgehung der MCP-Authentifizierung.

Sind gerade 9,6 % aller LiteLLM-Gateways exponiert? Nein. Die Zahl stammt aus Wiz' Stichprobe von 3.074 Instanzen vom Februar 2026. Der Scan im August fand über 85.000 Instanzen, von denen die meisten offenbar Honeypots oder Test-Deployments sind.

Behandelt LiteLLM den Standard-Key als Schwachstelle? Nein. Seine Sicherheitsrichtlinie führt Angriffe, die einen Einrichtungsfehler voraussetzen, als "ausdrücklich nicht im Scope".