KURGUSAL İÇERİK · SATİR
LiteLLM proxy sunucularında tespit edilen CVE-2026-49468 numaralı kimlik doğrulama atlama zafiyeti, yapay zeka altyapılarının en kritik bileşenlerinden birinin temel güvenlik varsayımlarının nasıl çökebileceğini gösteriyor. CVSS skoru 9.5 olan bu zafiyet, LiteLLM’in 1.84.0 sürümünden önceki tüm versiyonlarını etkiliyor ve basit bir HTTP Host header enjeksiyonu ile yönetimsel rotalara izinsiz erişim sağlanabilmesine olanak tanıyor.
LiteLLM, açık kaynaklı bir LLM proxy yönlendiricisi olarak şirketlerin OpenAI, Anthropic ve Gemini gibi birden fazla modelin API anahtarlarını tek bir kapıdan yönetmesini sağlıyor. Rate limiting, erişim kontrolü ve rota optimizasyonu gibi işlevleri yerine getirirken, aslında organizasyonun tüm jeneratif AI altyapısının anahtarlarını barındıran bir kasada konumlanıyor. Bu zafiyet, o kasanın kapısının açık bırakıldığına dair uyarı niteliğinde.
Zafiyetin kök nedeni, CWE-290 olarak sınıflandırılan Authentication Bypass by Spoofing kategorisinde yer alıyor. LiteLLM’in kimlik doğrulama katmanı, litellm/proxy/auth/auth_utils.py dosyasındaki get_request_route() fonksiyonu üzerinden kullanıcının erişmeye çalıştığı rotayı belirliyor. Bu belirleme işlemi, alttaki Starlette çerçevesi tarafından üretilen request.url.path değişkenine dayanıyor. Sorun şu ki, Starlette bu yolu istemci tarafından sağlanan HTTP Host header’ından yeniden inşa ediyor. Oysa gerçek rota yönlendirmesi FastAPI tarafından ele alınıyor ve FastAPI istemcinin gönderdiği gerçek yolu değerlendiriyor. Bu iki katman arasındaki uyumsuzluk, routing desync olarak adlandırılabilecek bir durum yaratıyor.
Saldırgan korumalı bir yönetim rotasına, örneğin /key/generate endpoint’ine istek gönderirken malicious bir Host header enjekte ediyor. Bu header, izinsiz erişilebilen bir halka rota gösteriyor. Kimlik doğrulama katmanı Starlette üzerinden bu rotayı halka sanıyor ve authentication’dan geçiyor. Arka planda FastAPI ise gerçek rotayı okuyup istek korumalı endpoint’e yönlendiriliyor. Sonuç olarak, izinsiz bir istek korumalı bir yönetim fonksiyonuna ulaşıyor.
Bu zafiyeti keşfeden KCSC’den Le The Thang ve One Mount Group’tan Kim Ngoc Chung, sıfır ayrıcalık ve sıfır kullanıcı etkileşimi gerektiren düşük karmaşıklıktaki bu ağ saldırısının, LiteLLM proxy’sinin tam yönetimsel kontrolünü ele geçirebileceğini belgeledi. Başarıyla sömürülürse, bir saldırgan aşağıdaki akımlara erişebiliyor: downstream LLM API anahtarlarını çalmak, /key/generate rotasını kullanarak kendi erişim token’larını oluşturmak, rota kurallarını değiştirmek ve hizmet kullanılabilirliğini bozmak.
Zafiyetin pratik saldırı yüzeyi konusunda önemli bir kısıtlama var. LiteLLM proxy’si doğrudan internete açık değilse, bu zafiyet sömürülemez. Cloudflare gibi bir CDN, WAF veya NGINX gibi düzgün yapılandırılmış bir reverse proxy’nin arkasında bulunan LiteLLM instance’larında, upstream altyapı Host header’ını normalize ediyor veya reddediyor. LiteLLM Cloud müşterileri de bu upstream kontrolleri sayesinde etkilenecek durumda değil.
Acil düzeltme adımları arasında litellm paketinin 1.84.0 veya üzeri bir versiyona yükseltilmesi yer alıyor. Yükseltme sonrası herhangi bir yapılandırma değişikliğine gerek yok. Geçici bir çözüm olarak NGINX reverse proxy önüne yerleştirilerek strict server_name doğrulaması uygulanabilir. Bu durumda proxy_set_header Host $host direktifi ile Host header’ı doğrulanmış server_name üzerine zorlanıyor ve default_server bloğu tanımlanmayan Host header içeren istekler 444 kodu ile reddediliyor.
Endüstriyel bağlamda bu zafiyet, AI altyapısının olgunlaştıkça saldırı yüzeyinin modellerden middleware katmanına kaydığını gösteriyor. Geleneksel web zafiyetleri olan Host header injection, AI gateway’lerine uygulandığında yıkıcı sonuçlar doğurabiliyor. 2026’nın ilk çeyreğinde NVD zenginleştirme triajına öncelik veren NIST’in bu kararları, AI-related zafiyetlerin geleneksel CVE ekosisteminden kısmen sıyrıldığını ve yeni bir güvenlik paradigmaya ihtiyaç duyulduğunu ortaya koyuyor.
Bu tür zafiyetlerin istatistiksel analizi, geleneksel authentication mekanizmalarının AI-native mimarilerde yetersiz kaldığını p < 0.001 anlamlılık seviyesinde doğruluyor. Güvenlik ekiplerinin, AI gateway’lerini geleneksel web uygulamaları gibi değil, kritik kimlik yönetimi sistemleri gibi ele alması gerekiyor.