Highjaydns

**Nome do Software Vulnerável e Versões Afetadas** LiteLLM versões 1.74.2 até 1.83.6 **Descrição** Uma falha de injeção de comando existe no LiteLLM, um servidor proxy para APIs de Large Language Model. Os endpoints 'POST /mcp-rest/test/connection' e 'POST /mcp-rest/test/tools/list', utilizados para pré-visualizar um servidor MCP, aceitam uma configuração completa do servidor no corpo da requisição. Especificamente, as variáveis `command`, `args` e `env` utilizadas pelo transporte stdio podem ser manipuladas. Quando uma configuração stdio é fornecida, o servidor executa o comando fornecido como um subprocesso no host do proxy com os privilégios do processo do proxy. Como esses endpoints exigem apenas uma chave de API de proxy válida e carecem de controle de acesso baseado em funções, qualquer usuário autenticado, incluindo aqueles com chaves de usuário interno de baixo privilégio, pode executar comandos arbitrários no host. Este problema foi explorado ativamente em ambiente real. **Recomendações** Atualize para a versão 1.83.7. Como medida paliativa temporária, bloqueie os endpoints 'POST /mcp-rest/test/connection' e 'POST /mcp-rest/test/tools/list' no proxy reverso ou gateway de API.

**Nome do Software Vulnerável e Versões Afetadas** LiteLLM versões anteriores a 1.83.0 **Description** Uma falha de autorização existe na função `update config()`, que gerencia o endpoint '/config/update'. O endpoint não impõe a autorização de função de administrador, permitindo que qualquer usuário autenticado ou detentor de uma chave de API válida modifique as configurações do proxy e variáveis de ambiente. Isso pode levar à execução remota de código através do registro de manipuladores de endpoint de passagem personalizados que apontam para código Python controlado por um invasor. Além disso, invasores podem ler arquivos arbitrários do servidor manipulando a variável `UI LOGO PATH` e buscando-os via endpoint '/get image', ou assumir contas privilegiadas sobrescrevendo as variáveis de ambiente `UI USERNAME` e `UI PASSWORD`. Sondagens em tempo real do endpoint '/config/update' foram observadas logo após a divulgação do problema. **Recommendations** Atualizar para a versão 1.83.0. Restringir a distribuição de chaves de API para minimizar o risco de acesso não autorizado.