KI-Gateways sind zur kritischen Infrastruktur geworden: Sie bündeln den Zugriff auf Dutzende Modellanbieter, verwalten API-Schlüssel und verbinden interne Anwendungen mit externen LLMs. Genau diese zentrale Rolle macht sie zu einem lohnenden Ziel. Eine Schwachstelle im weit verbreiteten Open-Source-Gateway LiteLLM von BerriAI zeigt das eindrücklich – und wird bereits aktiv ausgenutzt.
Was hinter CVE-2026-42271 steckt
Die als CVE-2026-42271 geführte Lücke ist eine Command-Injection mit einem CVSS-Score von 8.7. Betroffen sind die LiteLLM-Versionen 1.74.2 bis 1.83.6. Das Problem liegt in zwei Endpunkten, die eigentlich nur zum Testen einer MCP-Server-Konfiguration gedacht sind, bevor diese gespeichert wird: POST /mcp-rest/test/connection und POST /mcp-rest/test/tools/list.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Diese Endpunkte akzeptieren eine vollständige Server-Konfiguration im Request-Body – inklusive der Felder command, args und env für den sogenannten stdio-Transport. Wird eine stdio-Konfiguration übergeben, startet das Gateway den angegebenen Befehl als Subprozess auf dem Host, und zwar mit den Rechten des Proxy-Prozesses. Da die Endpunkte lediglich einen gültigen Proxy-API-Schlüssel verlangen, kann bereits jeder Nutzer mit einem niedrig privilegierten Schlüssel beliebige Befehle auf dem Server ausführen.
Verkettung zur CVSS-10.0-Lücke
Richtig gefährlich wird die Schwachstelle in Kombination mit CVE-2026-48710, einer „BadHost”-Lücke in der Bibliothek Starlette, die die Validierung des Host-Headers umgeht. In LiteLLM-Deployments, deren Abhängigkeiten Starlette in Version 1.0.0 oder älter enthalten, lässt sich damit die Authentifizierung komplett aushebeln. Die Sicherheitsfirma Horizon3 bewertet die kombinierte Angriffskette mit dem Maximalwert CVSS 10.0 – also unauthentifizierte Remote-Code-Execution.
Aktive Ausnutzung – CISA schlägt Alarm
Die US-Behörde CISA hat CVE-2026-42271 am 8. Juni 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen und verweist auf belegte aktive Angriffe. Details zu den konkreten Attacken sind bislang nicht öffentlich.
Das Schadenspotenzial ist erheblich: Ein erfolgreicher Angreifer kann beliebige Befehle auf dem LiteLLM-Host ausführen, an die hinterlegten Zugangsdaten sämtlicher angebundener Modellanbieter gelangen, gespeicherte API-Schlüssel und Geheimnisse abgreifen und sich von dort weiter in die angebundene KI-Infrastruktur bewegen.
Was Betreiber jetzt tun sollten
- LiteLLM auf Version 1.83.7 oder neuer und Starlette auf 1.0.1 oder neuer aktualisieren.
- Falls kein sofortiges Patchen möglich ist: die Endpunkte
/mcp-rest/test/connectionund/mcp-rest/test/tools/listam vorgelagerten Reverse-Proxy oder API-Gateway blockieren. - Den Netzwerkzugriff auf das Gateway auf vertrauenswürdige Segmente beschränken.
- Alle vom Proxy gespeicherten Zugangsdaten rotieren.
- Logs auf ungewöhnliche Host-Header und unerwartete Subprozess-Starts prüfen.
Fazit
Der Vorfall ist ein Weckruf für alle, die KI-Gateways im Eigenbetrieb einsetzen. Mit der Verbreitung von Agenten und dem Model Context Protocol wächst die Angriffsfläche rund um diese Komponenten. Wer LLM-Zugriffe zentral bündelt, sollte diese Systeme mit derselben Sorgfalt absichern wie klassische kritische Infrastruktur – inklusive Patch-Disziplin, Netzwerksegmentierung und einem strikten Rechte- und Schlüsselmanagement.
Quellen
- The Hacker News: LiteLLM Flaw CVE-2026-42271 Exploited in the Wild
- Help Net Security: LiteLLM vulnerability under active attack, CISA warns
- Rescana: Active Exploitation Alert CVE-2026-42271 and CVE-2026-48710
- CISA: Known Exploited Vulnerabilities Catalog
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden