LiteLLM: уязвимости в шлюзе для LLM открывают доступ к файлам и RCE

Обновление до версии 1.83.9 устраняет уязвимости

Продукт LiteLLM версии 1.77.7 содержал критические уязвимости CVE-2026-35029 и CVE-2026-59823. Исправление доступно с версии 1.83.9. Основная проблема заключалась в отсутствии проверки авторизации на конечной точке /config/update. Это позволяло любому аутентифицированному пользователю изменять конфигурацию прокси в реальном времени. Уязвимость допускала чтение произвольных файлов, захват административных учетных записей и удаленное выполнение кода. Отдельная уязвимость SSRF в функции «Clientside LLM Credentials» позволяла перенаправлять вызовы API и извлекать ключи поставщиков.

LiteLLM служит шлюзом для LLM и управляет учетными данными

LiteLLM — это проект с открытым исходным кодом, предоставляющий SDK и шлюз для работы с различными поставщиками LLM. Шлюз LiteLLM развертывается как отдельный сервис. Он находится между приложениями и поставщиками LLM, обрабатывая учетные данные, конфигурацию и маршрутизацию запросов. Шлюзы LLM централизуют управление учетными данными, маршрутизацию запросов, ограничение скорости, ведение журналов и отслеживание использования. Они также добавляют такие функции, как логика отката, балансировка нагрузки между поставщиками и выбор модели на основе конфигурации.

Уязвимости затрагивают локальные установки LiteLLM версии 1.77.7

Уязвимость CVE-2026-35029 связана с отсутствием проверки авторизации на конечной точке /config/update. Эта конечная точка позволяет изменять параметры прокси, включая переменные окружения, списки моделей и общие настройки. Уязвимость возникает из-за отсутствия проверки ролевого доступа (RBAC) и обхода списка разрешенных маршрутов для сеансов UI. Любой пользователь с действительным токеном сеанса UI мог вызвать POST /config/update и изменить конфигурацию прокси. Это позволяло читать произвольные файлы, захватывать административные учетные записи и выполнять удаленный код. Уязвимость CVE-2026-59823, связанная с функцией «Clientside LLM Credentials», позволяла перенаправлять вызовы API и извлекать ключи поставщиков.

Обновитесь до 1.83.9 или установите патч безопасности

Для устранения уязвимостей необходимо обновить LiteLLM до версии 1.83.9. Если обновление невозможно, следует рассмотреть установку патча безопасности. Уязвимость CVE-2026-35029 позволяет любому аутентифицированному пользователю изменять переменные окружения прокси через конечную точку /config/update. Злоумышленник может установить переменную UI_LOGO_PATH для чтения произвольных файлов через конечную точку /get_image. Также можно переопределить переменные UI_USERNAME и UI_PASSWORD, чтобы захватить административную учетную запись. Уязвимость CVE-2026-59823 позволяет перенаправлять вызовы API и извлекать ключи поставщиков.