Czy LiteLLM ma poważną lukę w bezpieczeństwie?
Czy LiteLLM ma poważną lukę w bezpieczeństwie?
LiteLLM, otwartoźródłowy gateway AI, który umożliwia ujednolicony dostęp do różnych modeli językowych, stanął w obliczu poważnego problemu bezpieczeństwa. Badacze z OX Security odkryli, że narzędzie to jest podatne na przejęcie konta użytkownika poprzez nieprawidłową obsługę adresów e-mail w tokenach JWT.
W skrócie, LiteLLM używa adresu e-mail jako mechanizmu awaryjnego do dopasowania użytkownika podczas logowania. Jednakże nie sprawdza wartości email_verified, co stwarza lukę, którą mogą wykorzystać atakujący. Poprawnie podpisany token od zaufanego IdP zawierający niezweryfikowany adres e-mail może być wykorzystany do uzyskania dostępu do istniejącego konta.
Aby lepiej zrozumieć problem, oto kluczowe informacje:
- LiteLLM umożliwia dostęp do wielu modeli AI.
- Wykryta podatność dotyczy tokenów JWT.
- Atakujący może przejąć konto użytkownika.
To odkrycie podkreśla konieczność wzmocnienia mechanizmów uwierzytelnienia w systemach opartych na sztucznej inteligencji.
Na podstawie: Źródła
