BerriAI LiteLLM

LiteLLM ist ein Proxy-Server (AI Gateway) zum Aufruf von LLM-APIs. In Versionen vor 1.83.0 verwendet der OIDC-userinfo-Cache bei aktivierter JWT-Authentifizierung laut NVD die ersten 20 Zeichen des Tokens als Cache-Schlüssel. Da vom selben Signaturalgorithmus erzeugte JWT-Header identische erste 20 Zeichen haben, kann ein nicht authentifizierter Angreifer ein Token erstellen, dessen erste 20 Zeichen mit dem zwischengespeicherten Token eines legitimen Benutzers übereinstimmen, und bei einem Cache-Treffer dessen Identität und Berechtigungen übernehmen. Die Option ist nicht standardmässig aktiv; betroffen sind nur Deployments mit aktivierter JWT/OIDC-Authentifizierung. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf LiteLLM 1.83.0 oder neuer aktualisieren.

In LiteLLM 1.18.10 besteht eine Schwachstelle zur Remote-Code-Ausführung in der Funktion zum Anlegen von MCP-Servern. Anwender können MCP-Server über eine JSON-Konfiguration hinzufügen, die das Ausführen beliebiger Befehle ermöglicht. CVSS-Basiswert: 9.8 (Kritisch).

BerriAI/litellm in Version v1.35.8 enthält eine Schwachstelle, die Remotecodeausführung ermöglicht. Die Funktion add_deployment dekodiert und entschlüsselt Umgebungsvariablen aus Base64 und weist sie os.environ zu; ein Angreifer kann über eine bösartige Anfrage an den Endpunkt /config/update Code ausführen lassen, sobald get_secret ausgelöst wird. Voraussetzung ist die Nutzung von Google KMS und einer Datenbank. CVSS-Basiswert: 9.8 (Kritisch).

BerriAI/litellm ist über den Endpunkt /completions anfällig für eine Server-Side Template Injection. Die Methode hf_chat_template verarbeitet den Parameter chat_template aus der Datei tokenizer_config.json ohne ausreichende Bereinigung durch die Jinja-Template-Engine, sodass Angreifer mit praeparierten Dateien beliebigen Code auf dem Server ausführen können. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Herstellerupdates einspielen.

In LiteLLM, einem Proxy-Server (AI Gateway) für LLM-APIs, erzwingt der Endpoint /config/update vor Version 1.83.0 keine Prüfung der Administratorrolle. Ein bereits angemeldeter Benutzer kann darüber die Proxy-Konfiguration und Umgebungsvariablen ändern, eigene Pass-Through-Endpunkte auf angreiferkontrollierten Python-Code registrieren und so Remote-Codeausführung erreichen, beliebige Serverdateien auslesen sowie privilegierte Konten übernehmen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 26.4 %. Empfohlene Massnahme: auf LiteLLM v1.83.0 aktualisieren.

LiteLLM bis einschliesslich 2026-04-08 erlaubt entfernten Angreifern die Ausführung beliebigen Codes über Bytecode-Rewriting an der URI /guardrails/test_custom_code. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 6.5 %.

LiteLLM vor Version 1.83.14 erlaubt laut NVD einem authentifizierten internal_user, API-Schlüssel mit Zugriff auf Routen zu erstellen, die seine Rolle nicht zulässt. Ursache ist, dass das Feld allowed_routes beim Erzeugen eines Schlüssels ohne die nötige Prüfung gespeichert wird. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: auf LiteLLM 1.83.14 oder neuer aktualisieren.

LiteLLM vor Version 1.83.10 erlaubt es einem Nutzer, über den Endpunkt /user/update die eigene Rolle (user_role) zu verändern. Zwar beschränkt der Endpunkt die Nutzer korrekt auf das eigene Konto, er unterbindet die Änderung der Rolle jedoch nicht. CVSS-Basiswert: 8.8 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: auf Version 1.83.10 oder neuer aktualisieren.

In BerriAI litellm bis Version 1.59.8 besteht eine Schwäche in der Funktion UserAPIKeyAuth der Datei user_api_key_auth_mcp.py innerhalb der Komponente MCP Proxy. Eine Manipulation kann zu fehlerhafter Authentifizierung führen und lässt sich aus der Ferne ausnutzen. Ein Exploit wurde öffentlich verfügbar gemacht und könnte für Angriffe genutzt werden; der Hersteller wurde frühzeitig informiert. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Im LiteLLM Proxy (AI Gateway) nahm der Endpunkt POST /prompts/test benutzerseitig bereitgestellte Prompt-Templates entgegen und verarbeitete sie ohne Sandboxing. Ein präpariertes Template konnte beliebigen Code im Prozess des LiteLLM Proxy ausführen; da der Endpunkt nur einen gültigen Proxy-API-Schlüssel prüft, konnte jeder authentifizierte Nutzer ihn erreichen und dabei Secrets aus der Prozessumgebung offenlegen oder Befehle auf dem Host ausführen. Betroffen sind die Versionen ab 1.80.5 bis vor 1.83.7. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf LiteLLM 1.83.7 oder neuer.

LiteLLM ist ein Proxy-Server (AI Gateway) zum Aufruf von LLM-APIs im OpenAI-Format. Vor Version 1.84.0 erlaubte der MCP-Streamable-HTTP-Endpunkt es einem nicht authentifizierten Angreifer, mit einem gefälschten Authorization-Header einen OAuth2-Passthrough-Fallback auszulösen. Dabei wurde die fehlgeschlagene Schlüsselprüfung durch ein leeres UserAPIKeyAuth-Objekt ersetzt, sodass Anfragen ohne gültigen LiteLLM-Schlüssel das MCP-Tooling erreichten. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: Aktualisierung auf die vom Hersteller bereitgestellte fehlerbereinigte Version.

BerriAI/litellm in Version 1.40.12 enthält eine Schwachstelle, die eine Remote Code Execution ermöglicht. Über die Konfiguration post_call_rules lässt sich eine Callback-Funktion hinterlegen; der übergebene Wert wird am letzten Punkt getrennt und der hintere Teil als Funktionsname importiert. Dadurch kann ein Angreifer eine Systemmethode wie os.system als Callback setzen und beliebige Befehle ausführen, sobald eine Chat-Antwort verarbeitet wird. Der CVSS-Basiswert liegt bei 8.8 (Hoch).

BerriAI litellm ist aufgrund unzureichender Eingabevalidierung am Endpunkt /audio/transcriptions anfällig für das Löschen beliebiger Dateien. Ein Angreifer kann durch eine speziell präparierte Anfrage mit einem Dateipfad kritische Dateien auf dem Server löschen, da os.remove ohne Autorisierung oder Validierung aufgerufen wird. CVSS-Basiswert: 8.1 (Hoch).