CVE-2024-4264

berriai/litellm (versões afetadas não especificadas)

Existe uma vulnerabilidade de execução remota de código devido ao controle inadequado da geração de código ao utilizar a função eval de forma insegura no método litellm.get secret(). Especificamente, quando o servidor utiliza o Google KMS, dados não confiáveis são passados para a função eval sem sanitização. Os invasores podem explorar isso injetando valores maliciosos nas variáveis de ambiente por meio do endpoint “/config/update”, que atualiza as configurações em proxy server config.yaml.

Como solução temporária, considere desativar o método litellm.get secret() até que uma correção esteja disponível.

Restrinja o acesso ao endpoint “/config/update” para minimizar o risco de exploração.

Evite usar a função eval com dados não confiáveis até que o problema seja resolvido.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.