CISA zet AI-gateway LiteLLM op lijst misbruikte lekken

De Amerikaanse cyberwaakhond CISA breidde op 3 september de catalogus van actief misbruikte kwetsbaarheden uit met zeven nieuwe nummers. Drie daarvan zitten in software waarmee bedrijven AI-modellen ontsluiten, schrijft The Hacker News. AI-tooling verhuist daarmee van onderzoeksrapporten naar de verplichte patchlijst van de Amerikaanse overheid.

Een vervalste header opent de MCP-verbinding

De opvallendste is CVE-2026-59822 in LiteLLM, met een CVSS-score van 8,8. LiteLLM is een gateway die verkeer naar uiteenlopende taalmodellen routeert en veel bedrijven achter hun eigen API zetten. In versies vóór 1.84.0 kon een aanvaller via het MCP-endpoint een verzonnen Authorization-header meesturen. De code viel dan terug op een OAuth2-doorgeefpad en verving de mislukte sleutelcontrole door een leeg autorisatie-object. Verzoeken zonder geldige API-sleutel kwamen zo alsnog bij de aangesloten MCP-tools uit. Wie binnenkomt kan de geconfigureerde tools opvragen en aanroepen, inclusief de systemen die daarachter hangen. Het protocol groeide dit jaar hard, zoals bleek toen MCP de 400 miljoen downloads passeerde.

Twee andere schakels in de AI-keten

Ook CVE-2026-48710 in Starlette staat nu op de lijst, met score 6,5. Starlette is de ASGI-laag onder FastAPI, het framework waarop veel model-API’s draaien. Een simpele injectie in de Host-header omzeilt daar authenticatie die op padniveau is ingeregeld. De derde is CVE-2026-82329 in JFrog Artifactory, score 9,8, waar een zogeheten phantom join key het mogelijk maakt beheerderstokens te vervalsen in de standaardconfiguratie. Beveiligingsbedrijf watchTowr zag die bug op 1 september in het wild worden uitgebuit, vier dagen na de openbaarmaking, meldt Forkast.

Reverse shells en cryptominers

Aanvallers gebruikten de zeven lekken om reverse shells te plaatsen en cryptominers te draaien, aldus The Hacker News. Ook maakten ze beheerderstokens aan. Het doel was inloggegevens verzamelen en rekenkracht te gelde maken. Dat patroon kennen we van eerder dit jaar, toen aanvallers open Ollama-servers kaapten voor hun eigen hacktool.

De rest van de lijst gaat over klassiekere doelwitten: SonicWall SMA 1000 met een CVSS van 10,0, Sangoma Switchvox en workfloworkestrator Kestra, eveneens 10,0. Amerikaanse federale diensten moeten het merendeel van de zeven gaten uiterlijk 5 september dichten. Voor Starlette en LiteLLM staat 16 september genoteerd. Zo’n dwingende termijn kwamen we eerder tegen bij een kritiek lek in AI-framework Ray, waarvoor de overheid drie dagen kreeg.

Wat dit betekent

Wie zelf een modelgateway draait, heeft er een onderhoudstaak bij. LiteLLM, FastAPI en artifactrepositories staan zelden op het netvlies van de securityafdeling, terwijl ze wel API-sleutels, klantdata en toolverbindingen bij elkaar brengen. Een MCP-server die met een verzonnen token bereikbaar is, geeft toegang tot alles wat eraan hangt, van een databasekoppeling tot een mailbox.

Praktisch: inventariseer waar LiteLLM in je omgeving staat, controleer de versie tegen 1.84.0 en zet het MCP-endpoint niet zonder netwerkfilter op het open internet. De KEV-catalogus is buiten de VS geen verplichting, maar wel een bruikbare prioriteitenlijst, omdat er alleen lekken op komen waarvan misbruik is vastgesteld. Dat onderhoud van open-source-onderdelen achterloopt op het tempo van AI-adoptie, bleek deze week ook toen een startup zes curl-lekken vond die de grote AI-labs over het hoofd zagen.