Duas vulnerabilidades no LiteLLM: De Usuário Interno a RCE

Duas vulnerabilidades no LiteLLM: De Usuário Interno a RCE

A Check Point Research investigou o LiteLLM Proxy 1.77.7 e descobriu duas vulnerabilidades.

A primeira vulnerabilidade, CVE-2026-35029, é uma violação de controle de acesso que afeta POST /config/update. Ao fazer login na interface web do LiteLLM, o LiteLLM emite um token de UI com team_id=litellm-dashboard. A verificação de rotas permitidas usa startswith(): como /config está presente na lista, o token também ganha acesso a /config/update. O manipulador em si não verifica a função PROXY_ADMIN. Como resultado, até mesmo um usuário com a função Internal User pode modificar a configuração do gateway.

Os pesquisadores demonstraram três cenários: • Leitura de arquivo: definir UI_LOGO_PATH para o caminho de um arquivo local e recuperar seu conteúdo por meio de GET /get_image; • Tomada de controle de administrador: alterar UI_USERNAME e UI_PASSWORD, após o que o atacante faz login como PROXY_ADMIN; • RCE: adicionar general_settings.pass_through_endpoints com um destino apontando para um módulo Python no S3 ou GCS. Ao atualizar a configuração, o LiteLLM baixa o módulo e executa seu código por meio de importlib e exec_module().

A segunda vulnerabilidade, CVE-2026-59823, é um SSRF no mecanismo Clientside LLM Credentials. O parâmetro user_config em /chat/completions permite a criação de um roteador com um api_base arbitrário, contornando restrições nos parâmetros usuais api_base e api_key. No PoC, o gateway enviou uma solicitação ao servidor dos pesquisadores junto com a chave de API do provedor de LLM, adicionada aos cabeçalhos. A exploração requer acesso autenticado.

A vulnerabilidade foi corrigida no LiteLLM 1.83.9.

Artigo: https://research.checkpoint.com/2026/when-llm-gateways-go-wrong-findings-from-litellm/