LiteLLM: Rechteausweitung zum Proxy-Administrator

Zusammenfassung

LiteLLM ist ein Open-Source-Proxy (AI-Gateway) für den Aufruf von LLM-APIs. Da der Proxy denselben kryptografischen Kontext für gespeicherte Geheimnisse und Session-Token verwendet, kann ein authentifizierter interner Benutzer über den API-Key-Ablauf einen gefälschten Proxy-Administrator-Credential verschlüsseln und zurückerhalten lassen. Wird dieser Ciphertext als Bearer-Token wiederverwendet, vertraut der Proxy der gefälschten Administrator-Identität, was administrativen Zugriff und über den MCP-stdio-Endpunkt beliebige Befehle ermöglicht. Der CVSS-Wert beträgt 9.9 (kritisch), und der Angreifer benötigt lediglich ein gültiges internal_user-Konto.

Betroffen

• BerriAI LiteLLM >= 1.87.0, < 1.100.4
• BerriAI LiteLLM >= 1.101.0, < 1.101.3
• BerriAI LiteLLM >= 1.102.0, < 1.102.2
• BerriAI LiteLLM >= 1.103.0, < 1.103.1
• BerriAI LiteLLM >= 1.104.0-rc.1, < 1.104.0-rc.2
• Abweichung: Das Herstellerarchiv nennt den Bereich ab 1.91.0, die CVE-Beschreibung ab 1.87.0. Gemäss Beschreibung ist 1.87.0 bis 1.90.x nur betroffen, wenn EXPERIMENTAL_UI_LOGIN aktiviert ist. Bis der Hersteller dies klärt, sind 1.87.0 bis 1.90.x als potenziell betroffen zu behandeln.
• Unbekannt: Ob ältere Zweige als 1.100 betroffen oder gepatcht sind.

Behoben in

• 1.100.4
• 1.101.3
• 1.102.2
• 1.103.1
• 1.104.0-rc.2 (Release Candidate)

Umgehung

Unbekannt. Der Hersteller hat keinen Workaround veröffentlicht.

• Das Deaktivieren nicht benötigter MCP-stdio-Tools begrenzt nur die Befehlsausführung. Die Rechteausweitung wird damit nicht behoben.

Ausnutzung

• Öffentlicher Proof-of-Concept-Code ist auf GitHub verfügbar.
• Es wurde keine bestätigte aktive Ausnutzung in freier Wildbahn gefunden. Der CISA-KEV-Katalog wurde nicht geprüft.

Unsere Empfehlung

• LiteLLM so rasch wie möglich auf eine korrigierte Version (1.100.4, 1.101.3, 1.102.2, 1.103.1 oder 1.104.0-rc.2 oder neuer) aktualisieren.
• Prüfen, ob der Proxy aus dem Internet erreichbar ist, und den Zugriff auf vertrauenswürdige Netze beschränken.
• Prüfen, ob MCP stdio aktiviert ist, und es deaktivieren, falls es nicht benötigt wird.
• internal_user-Konten und die administrativen Aktivitäten des Proxys auf Anzeichen von Missbrauch prüfen.
• Die installierte Version bestätigen, bevor Upgrade-Angaben Dritter übernommen werden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  Hunt-Benito/one-salt-to-forge-them-all-cve-2026-114612-forged-admin-session-in-litellm

Quellen der Recherche

• GitHub Security Advisory GHSA-7hp6-4w63-5g45 github.com
• Fix commit 1d5fdc87 (session token AES-GCM context) github.com
• LiteLLM release v1.100.4 github.com
• LiteLLM release v1.101.3 github.com
• LiteLLM release v1.102.2 github.com
• LiteLLM release v1.103.1 github.com
• Third-party analysis (dev.to cverports) dev.to

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:57.