Publicado en

Vulnerabilidad Crítica en LiteLLM: Una Cadena de Fallos Permite el Control Total de Gateways de IA

•Publicado enVulnerabilidades

El Riesgo de los Gateways de Inteligencia Artificial

En el ecosistema actual de la Inteligencia Artificial (IA), herramientas como LiteLLM se han vuelto fundamentales para las empresas. Este gateway de código abierto actúa como un intermediario que permite gestionar llamadas a más de 100 proveedores de modelos (como OpenAI, Anthropic o Gemini) bajo una única interfaz compatible. Sin embargo, su posición estratégica como punto de control lo convierte también en un objetivo crítico para los ciberatacantes.

Recientemente, investigadores de Obsidian Security han revelado una cadena de tres vulnerabilidades que permiten a un usuario con privilegios mínimos escalar hasta el control total del servidor (admin) y ejecutar código malicioso, comprometiendo toda la infraestructura de IA de una organización.

Anatomía del Ataque: Tres Eslabones Críticos

La peligrosidad de este hallazgo reside en la combinación de tres fallos técnicos (CVE) que, por separado, podrían ser menores, pero juntos resultan devastadores:

  • CVE-2026-47101 (Salto de Autorización): El primer fallo permite a un usuario interno generar claves de API virtuales con permisos totales. El sistema no verificaba si el usuario tenía autoridad para asignar rutas de acceso globales, permitiendo el acceso a funciones restringidas de administración.
  • CVE-2026-47102 (Escalada de Privilegios): Una vez superada la primera barrera, el atacante puede acceder a un endpoint de actualización de usuario. Debido a una falta de validación, el usuario puede simplemente editar su propio perfil y cambiarse el rol a «proxy_admin».
  • CVE-2026-40217 (Ejecución Remota de Código – RCE): Con acceso de administrador, el atacante puede explotar un fallo en el sistema de ‘guardrails’ de código personalizado. Al usar funciones de Python sin el filtrado adecuado, el atacante puede ejecutar comandos directamente en el sistema operativo del servidor.

Impacto para el Negocio

Desde una perspectiva empresarial, un compromiso de este nivel en LiteLLM no es solo un problema técnico; es una brecha de datos masiva. Al tomar el control del gateway, un atacante obtiene:

  • Claves de Proveedores: Acceso a todas las API Keys de OpenAI, Azure, AWS Bedrock, etc., permitiendo el uso no autorizado y el robo de recursos.
  • Exfiltración de Datos Sensibles: Acceso a todos los prompts (instrucciones) y respuestas que pasan por el servidor, los cuales suelen contener secretos comerciales, código fuente o información de identificación personal (PII).
  • Manipulación de Respuestas: El atacante puede alterar lo que la IA responde a los empleados o clientes en tiempo real, facilitando ataques de ingeniería social o fraude.

Recomendaciones de Seguridad de Intedya

Para mitigar este riesgo, es imperativo que las organizaciones que utilicen LiteLLM sigan estos pasos de inmediato:

  1. Actualización Urgente: Migrar a la versión v1.83.14-stable o superior, donde se han aplicado los parches para esta cadena de vulnerabilidades.
  2. Auditoría de Cuentas: Revisar todos los perfiles con rol de proxy_admin y verificar que solo el personal autorizado mantenga este nivel de acceso.
  3. Revisión de Configuraciones: Inspeccionar el archivo config.yaml, específicamente la sección de callbacks, ya que es un lugar común donde los atacantes suelen ocultar persistencia tras un compromiso.
  4. Rotación de Secretos: Si sospecha que su instancia ha sido expuesta, proceda a rotar todas las claves de API de sus proveedores de modelos y las credenciales de la base de datos.

La seguridad en la implementación de soluciones de IA debe ser una prioridad estratégica. En Intedya, recordamos que la confianza en estas herramientas depende de una vigilancia constante y una gestión de vulnerabilidades rigurosa.

Fuentes