攻撃者が、LiteLLMの管理者APIに存在する深刻な認可の欠陥を実際に悪用しています。この脆弱性により、権限の低い読み取り専用ユーザーであってもプロキシの設定を変更したり、機密情報を露出させたり、最終的には対象サーバーの管理者権限を完全に掌握したりすることが可能になります。
Exploitprevention guide
Zenity Labsの研究者らは、2026年2月から6月にかけて、LiteLLMの管理エンドポイントを狙った約3,900件のリクエストを、73個の異なるIPアドレスから確認しました。
これらのリクエストのうち、機密性の高い`/config/update`エンドポイントを標的にしたものは約1,000件に上り、その攻撃パターンはCVE-2026-35029に関連付けられています。
LiteLLM管理者APIの脆弱性
2026年4月6日に公表されたこの脆弱性は、設定更新ルートにおける認可チェックの欠落に起因します。バージョン1.83.0より前のLiteLLMでは、影響の大きいプロキシ設定を変更する際に、呼び出し元が管理者権限を持っているかどうかを適切に検証していませんでした。この問題はLiteLLMバージョン1.83.0で修正されています。
LiteLLMはAIゲートウェイとして機能し、モデルプロバイダーのAPIキー、ユーザー情報や利用料金データ、プロキシ設定、管理者資格情報へのアクセスを一元的に管理します。そのコントロールプレーンでは、運用者がキーの作成、モデルの設定、予算の設定、ユーザー管理、稼働中設定の更新などを行えます。
これほど権限が集中しているからこそ、管理者APIは格好の標的となります。脆弱な設定下では、読み取り専用アカウントであっても`/config/update`を呼び出すことで、本来は管理者のみがアクセスできるはずの設定を変更できてしまいます。
研究者らによると、攻撃者はダッシュボードのロゴとして表示されるローカルファイルを制御する`UI_LOGO_PATH`設定を変更することで、この脆弱性を悪用できるとしています。
この設定を`.env`ファイルや設定用YAMLファイル、`/proc/self/environ`といった機密性の高いファイルに向けると、サーバーがそれらのファイルを読み取ってしまう可能性があります。さらに、認証不要の`/get_image`ルートを介して、その内容がリモートの要求者に露出しかねません。
これにより露出しうるデータとしては、LiteLLMのマスターキー、AIプロバイダーの認証情報、クラウドアクセストークン、データベース接続文字列、可観測性プラットフォームの秘密情報などが考えられます。
同じ設定書き込みアクセス権限は、さらに深刻な乗っ取りシナリオにもつながります。LiteLLMはサーバー側で`os.environ/VARIABLE`という形式の参照を解決するため、運用者が定義したプロキシルートを通じて、環境変数に保持された秘密情報を抽出できる余地が生まれます。
ダッシュボードのログイン用環境変数を変更できる攻撃者は、UIのユーザー名とパスワードを書き換え、管理者としてなりすまし認証できる可能性があります。
これにより、APIキーの生成、ユーザーの作成、利用料金やデプロイメントデータの閲覧、モデルの変更、リソースの削除といった、幅広い操作が可能になってしまいます。
Zenityはこの問題の再現に成功しており、LiteLLMバージョン1.74.0において、読み取り専用アカウント、マウントされた機密環境ファイル、攻撃者が制御する収集用サービスを組み合わせた一連の攻撃チェーンを実証しています。
研究者らは、`/config/update`を狙った最初の探索行為をCVE公開からわずか1日後の4月7日に検知しました。その後、5月5日から5月12日にかけては、`/app/.env`、`/home/litellm/.env`、設定ファイル、プロセス環境データといった一般的な秘密情報の保存場所を狙ったファイル読み取り用ペイロードが観測されています。
その他に観測された活動には、デフォルトのマスターキーの推測、`/user/new`を通じた管理者ユーザー作成の試み、キー生成リクエスト、API列挙、モデル削除の試み、SCIMエンドポイントの探索などが含まれます。研究者らはJavaScript形式のプロトタイプ汚染ペイロードも発見していますが、こちらはLiteLLMのPythonベースのプロキシに対しては効果がありませんでした。
LiteLLMを運用している組織は、直ちにバージョン1.83.0以降へアップグレードすべきです。管理者は、露出した可能性のあるすべての秘密情報をローテーションし、強固なデフォルト以外のマスターキーを設定し、コントロールプレーンへのアクセスを制限したうえで、`/config/update`、`/get_image`、`/key/generate`、`/user/new`へのリクエストを監視することが推奨されます。
今回の一連の攻撃は、AIゲートウェイに伴うより広範なリスクを浮き彫りにしています。設定管理まわりの認可制御に不備があれば、一見権限が限定されたアカウントであっても、インフラ全体の完全な侵害につながりかねません。
SOCを最新の状態に保ち、マルウェアやフィッシングの発生から24時間以内に検知しましょう。 ANYRUNを試して早期検知でインシデントを防止しましょう。
翻訳元: https://gbhackers.com/hackers-exploit-litellm-admin-api-flaw/