何が起きたか
LiteLLMのプロキシは、保存時暗号化された秘密情報とセッショントークンの両方に対して単一の暗号コンテキストを再利用していました。認証済みの内部攻撃者は管理者資格情報を偽造し、通常のAPIキーフローで暗号化させ、その結果得られる暗号文をベアラートークンとして再生できました。プロキシは偽造された管理者IDを信頼していました。これにより、管理者アクセスとMCP stdioエンドポイントを介した任意のコマンド実行が可能になります。公開日2026-10-22、CVSS 9.9（ネットワーク、低権限、スコープ変更）。
なぜ重要か
LLMゲートウェイは、組織とモデルプロバイダー間の隘路です。デフォルト構成でのプロキシ管理者への権限昇格は、攻撃者がプロバイダーキーの読み取り/ローテーション、プロンプトと応答の検査、ゲートウェイのMCPツールサーフェスの操作を可能にすることを意味し、AIデプロイメントの古典的なゲートウェイレベルの侵害です。以前の10月21日のLiteLLMリリースパイプラインのサプライチェーンインシデントとは異なります。これはプロキシ自体の認証/権限の欠陥です。
攻撃経路
プロキシは、保存時秘密情報とセッショントークンに対して単一の暗号コンテキストを再利用します。低権限の認証済み内部ユーザーが、APIキーフローで暗号化される偽造管理者資格情報を含むメタデータを作成します。その暗号文をベアラートークンとして再生すると、プロキシは偽造された管理者IDを信頼し、管理者アクセスとMCP stdioエンドポイントを介した任意のコマンドを許可します。1.91.0以降、デフォルト構成で悪用可能です（1.87.0–1.90.xではEXPERIMENTAL_UI_LOGINが必要でした）。
影響を受けるシステム
LiteLLM (BerriAI/litellm) 1.87.0–1.100.4, 1.101.0–1.101.3, 1.102.0–1.102.2, 1.103.0–1.103.1, 1.104.0-rc.1–rc.2
緩和策
修正版1.100.4 / 1.101.3 / 1.102.2 / 1.103.1 / 1.104.0-rc.2へアップグレードしてください。GitHubアドバイザリGHSA-7hp6-4w63-5g45。ゲートウェイを介して到達可能な秘密情報/キーをローテーションしてください。