Check Point Researchは、LiteLLMに存在する2件の深刻度の高い脆弱性を公表しました。LiteLLMは、企業のアプリケーションとOpenAI、Anthropic、GoogleなどのAIプロバイダーの間に位置するオープンソースのゲートウェイです。これらの脆弱性を悪用されると、最小限の権限しか持たないユーザーがゲートウェイを完全に掌握し、機密ファイルの読み取りや任意のコードの実行、組織がAIプロバイダーへのアクセスに使用するAPIキーの窃取に及ぶ恐れがあります。
LiteLLMは月間約9,700万回ダウンロードされており、GitHubでは5万9,000を超えるスターを獲得しています。CVE-2026-35029とCVE-2026-59823として追跡されている2件の問題は、いずれもバージョン1.83.9で修正されました。
1つのエンドポイントと3つの攻撃経路
より深刻なCVE-2026-35029は、プロキシの実行時設定を制御するLiteLLMの/config/updateエンドポイントで認可チェックが欠落していたことに起因します。他の管理用エンドポイントとは異なり、呼び出し元がPROXY_ADMINロールを持っているかどうかを検証していませんでした。
問題をさらに悪化させたのが、ダッシュボードの仕様です。LiteLLMのダッシュボードからログインしたユーザーには、特別な「litellm-dashboard」チームに紐づくセッショントークンが発行されます。このトークンは、許可されたUIルートのより緩い一覧と照合されます。この一覧には「/config」が含まれています。チェックが単純な前方一致で行われるため、/config/updateへのリクエストは、ロールに関係なくログイン済みのあらゆるユーザーに許可されていました。
研究者らはLiteLLMのバージョン1.77.7を対象に検証し、この脆弱性を悪用して次の攻撃が可能であることを示しました。
- 任意のファイルの読み取り：ダッシュボードのロゴのパスを設定する環境変数を注入し、/etc/passwdなどの機密ファイルを指定します
- 組み込み管理者アカウントの乗っ取り：UI_USERNAMEとUI_PASSWORDの各変数を上書きし、攻撃者が選んだ認証情報でログインします
- リモートコードの実行：攻撃者が管理するS3またはGCSバケットからPythonモジュールを読み込む「パススルーエンドポイント」を登録します。LiteLLMはこのモジュールをダウンロードして実行します
プロバイダーに触れずにキーを窃取
2件目のCVE-2026-59823は、LiteLLMの「Clientside LLM Credentials」機能に存在するサーバーサイドリクエストフォージェリ（SSRF）の問題です。認証済みのユーザーが/chat/completionsエンドポイントにuser_configパラメータを渡すと、自分のサーバーを指すルーターを作成できました。その結果、リクエストに添付されたプロバイダーのAPIキーごと、AIプロバイダーではなく攻撃者のもとに送信されてしまいます。
Check Pointによると、このコードパスは、クライアントが指定するapi_baseおよびapi_keyパラメータに対してLiteLLMが既に設けていた制限を回避していました。
研究者らはさらに、パスワードのハッシュが低権限のユーザーにも公開されていたことに加え、ソルトなしで、しかもハッシュの反復回数が1回のみという状態で保存されていたことも確認しました。これらの問題は、既存のアドバイザリ「GHSA-69×8-hrgq-fjj8」と重複しています。
既知のバグ、より大きな影響範囲
Check Pointは、これらが「AI」特有の新しい種類の脆弱性ではないと明確に述べています。認可チェックの欠落、SSRF、安全でない動的モジュールの読み込みは、いずれもよく知られた問題です。リスクを高めているのは、これらが存在する場所です。LLMゲートウェイはプロバイダーのキーを保管し、ユーザー権限を管理し、すべてのプロンプトと応答を中継します。そのため、組織のAI環境全体にとって単一の侵害ポイントとなります。さらにLiteLLMは他の多くのAIプラットフォームや社内ツールに組み込まれているため、利用していることに気づいていない組織もあるとみられます。
Check Point Software TechnologiesでAIエージェントセキュリティ研究責任者を務めるMateo Rojas-Carulla氏は、次のように述べています。「業界の関心はこれまでAIモデルの保護に集中してきましたが、今回の研究は同じくらい重要な現実を浮き彫りにしています。AIインフラは、企業セキュリティの新たな重要レイヤーになりつつあります。組織がアプリケーションやユーザー、AIサービスをつなぐためにLiteLLMのようなゲートウェイへの依存を強めるほど、こうしたプラットフォームは信頼の中心に位置する魅力的な標的になります」
同氏は次のように付け加えています。「LiteLLMのユーザーにとって、当面の優先事項はパッチの適用とアクセス制御の見直しですが、そこから得られる教訓は単一の製品にとどまりません。攻撃者は、最小限の抵抗で最大限のアクセスを得られるレイヤーを当然ねらってきます」
防御側が取るべき対策
Check Pointは、組織に次の対策を推奨しています。
- 他のツールに組み込まれたインスタンスを含め、すべての環境でLiteLLM 1.83.9以降にアップグレードする
- ゲートウェイのユーザーアカウントを監査し、不要なものを削除する
- パッチ適用前に不正アクセスの兆候があった場合は、AIプロバイダーのAPIキーをローテーションする
- 権限を制限したロールが、書面上だけでなく実際に機能しているかをテストする
- LLMゲートウェイを定期的なセキュリティ評価の対象に含める
これらの脆弱性は、2025年10月に始まった協調的開示のプロセスを通じて、LiteLLMのメンテナーに報告されました。
技術的な詳細は次のページで公開されています。https://research.checkpoint.com/2026/when-llm-gateways-go-wrong-findings-from-litellm/
