LiteLLM, tre falle critiche: la catena di vulnerabilità espone le chiavi API di OpenAI, Anthropic e Azure

LiteLLM, tre falle critiche: la catena di vulnerabilità espone le chiavi API di OpenAI, Anthropic e Azure

Obsidian Security ha documentato una catena di tre CVE in LiteLLM che permette a un account con privilegi minimi di scalare a proxy admin, eseguire codice arbitrario e sottrarre tutte le provider key configurate. Il fix è in v1.83.14-stable

di pubblicata il , alle 10:01 nel canale Sicurezza
 

LiteLLM, gateway proxy open source per modelli LLM, è affetto da una catena di tre vulnerabilità critiche che consente a un account con permessi ordinari di scalare fino all'accesso completo da amministratore e di eseguire codice arbitrario sul server. Obsidian Security ha scoperto e divulgato i dettaglin tecnici della catena, con un grado di severità valutato a CVSS 9.9.

Tre CVE in sequenza: come si costruisce la scalata

CVE-2026-47101 è un a falla di authorization bypass. Un utente regolare genera una chiave API virtuale: LiteLLM memorizza il campo allowed_routes senza convalidarlo rispetto al ruolo effettivo dell'account. Un account privo di privilegi admin può così creare una chiave con accesso wildcard a tutte le route, incluse quelle riservate all'amministratore.

CVE-2026-47102 è invece una "classica" falla di privilege escalation: l'endpoint /user/update non applica restrizioni sui campi modificabili dall'utente sul proprio record. Una chiamata di auto-aggiornamento con user_role: "proxy_admin" viene accettata e salvata, promuovendo il chiamante a proxy admin completo. VulnCheck, che ha assegnato il CVE, attribuisce a questa falla un punteggio di 8.7 (CVSS 4.0) e 8.8 (CVSS 3.1).

CVE-2026-40217 chiude la catena con un sandbox escape nel Custom Code Guardrail. Il codice Python fornito dall'amministratore viene compilato ed eseguito tramite exec() senza che venga filtrato a livello sorgente. Quando exec() riceve un dizionario globals privo di __builtins__, Python inietta silenziosamente il modulo builtins completo, consegnando al codice __import__, open ed eval.

La catena completa espone la master key, la salt key che decripta le credenziali memorizzate e l'URL del database. Tutte le provider key configurate diventano accessibili: OpenAI, Anthropic, Gemini, Bedrock, Azure e tutto il resto.

La demo contro Claude Code: una parola, una shell

Obsidian ha dimostrato l'attacco contro Claude Code instradato attraverso un proxy LiteLLM compromesso. Il meccanismo non è prompt injection: l'attaccante usa il sistema di callback integrato di LiteLLM, un punto di estensione che si attiva su ogni richiesta e non compare nell'interfaccia di amministrazione. Nella demo, lo sviluppatore digita una sola parola e l'attaccante ottiene una reverse shell sulla macchina della vittima.

Il contesto di questi mesi non è rassicurante. A marzo 2026, un supply-chain compromise ha compromesso due release di LiteLLM su PyPI. Ad aprile, una SQL injection critica è stata sfruttata entro 36 ore dalla divulgazione. Un quarto problema, CVE-2026-42271, riguarda il machinery stdio-MCP: consentiva ai chiamanti di avviare sottoprocessi attraverso gli endpoint di anteprima MCP di LiteLLM; è stato sfruttato in the wild ed è entrato nel catalogo KEV della CISA questo mese.

BerriAI, il maintainer, ha incluso il set completo di correzioni in v1.83.14-stable, rilasciata il 2 maggio 2026. La raccomandazione è di aggiornare a questa versione o successiva, verificare ogni account con ruolo proxy_admin trattandolo come accesso a livello di host, rivedere le Custom Code Guardrail e ruotare provider key e credenziali del database se si sospetta un'esposizione.

I migliori sconti su Amazon oggi
-38%

FRITZ!Repeater 1200 AX Edition International, Ripetitore - Wi-Fi 6 extender Dual Band con 2.400 Mbit/s (5 GHz) & 600 Mbit/s (2,4 GHz), Mesh, Access Point, 1x Gigabit LAN, Interfaccia in italiano

95.99 59.99€ Compra ora
-37%

Amazfit Bip 5, 46 mm, Smartwatch, Schermo grande, chiamate Bluetooth, Alexa, GPS, durata della batteria di 10 giorni, fitness tracker con frequenza cardiaca, monitoraggio dell'ossigeno nel sangue

89.9 56.9€ Compra ora

TCL 55T6C 55'' QLED TV 4K HDR, FireTV (SmartTV con Dolby Vision e Atmos, HDR10+, Premi e Chiedi ad Alexa)

349€ Compra ora
0 Commenti
Gli autori dei commenti, e non la redazione, sono responsabili dei contenuti da loro inseriti - info

Devi effettuare il login per poter commentare
Se non sei ancora registrato, puoi farlo attraverso questo form.
Se sei già registrato e loggato nel sito, puoi inserire il tuo commento.
Si tenga presente quanto letto nel regolamento, nel rispetto del "quieto vivere".

La discussione è consultabile anche qui, sul forum.
 
^