Apa yang terjadi
Proxy LiteLLM menggunakan satu konteks kriptografi untuk secret terenkripsi saat disimpan dan token sesi. Penyerang internal yang terautentikasi dapat memalsukan kredensial administrator, meminta enkripsi melalui alur normal pembuatan API key, lalu memutar ciphertext yang dihasilkan sebagai bearer token — proxy mempercayai identitas admin palsu tersebut. Ini memberikan akses admin dan eksekusi perintah arbitrer melalui endpoint MCP stdio. Diterbitkan 2026-10-22, CVSS 9.9 (jaringan, hak rendah, cakupan berubah).
Mengapa penting
Gateway LLM adalah titik tersedak antara organisasi dan penyedia modelnya. Eskalasi hak istimewa menjadi administrator proxy dalam konfigurasi default berarti penyerang dapat membaca/memutar kunci penyedia, memeriksa prompt dan respons, serta menggerakkan permukaan alat MCP gateway — kompromi tingkat gateway klasik pada penerapan AI. Berbeda dengan insiden rantai pasokan jalur rilis LiteLLM pada 21 Okt sebelumnya: ini adalah cacat autentikasi/hak istimewa pada proxy itu sendiri.
Vektor serangan
Proxy menggunakan satu konteks kriptografi untuk secret saat disimpan dan token sesi. Pengguna internal terautentikasi berhak rendah menyusun metadata yang berisi kredensial administrator palsu yang dienkripsi oleh alur pembuatan API key; memutar ciphertext tersebut sebagai bearer token membuat proxy mempercayai identitas admin palsu, memberikan akses administratif dan perintah arbitrer melalui endpoint MCP stdio. Mulai dari 1.91.0, ini dapat dieksploitasi dalam konfigurasi default (1.87.0–1.90.x memerlukan EXPERIMENTAL_UI_LOGIN).
Sistem yang terdampak
LiteLLM (BerriAI/litellm) 1.87.0–1.100.4, 1.101.0–1.101.3, 1.102.0–1.102.2, 1.103.0–1.103.1, 1.104.0-rc.1–rc.2
Mitigasi
Tingkatkan ke versi perbaikan 1.100.4 / 1.101.3 / 1.102.2 / 1.103.1 / 1.104.0-rc.2. Advisory GitHub GHSA-7hp6-4w63-5g45. Putar semua secret/kunci yang dapat diakses melalui gateway.