Check Pointは2026年10月13日、LiteLLMのゲートウェイに関する脆弱性調査を公表しました。権限の低い認証済みユーザーでも設定を変更でき、ファイル取得や管理者アカウントの乗っ取りにつながる問題などを報告しています。Check Pointによると、報告した脆弱性はLiteLLM 1.83.9で修正済みです。
認証済みでも、権限の低い利用者から設定変更が可能
LiteLLMは、複数の大規模言語モデル(LLM)の提供元に対応するオープンソースの開発用部品(SDK)と、通信を仲介するゲートウェイを提供しています。今回の調査対象は、LiteLLM v1.77.7のゲートウェイです。報告された脆弱性の識別番号は、CVE-2026-35029とCVE-2026-59823です。
Check Pointによると、設定更新に使う「/config/update」で、利用者の役割に応じた権限確認が欠落していました。管理画面のUIセッションで、操作を許可するかどうかの判定にも不備があったとしています。そのため、低権限の認証済みユーザーも、通信を仲介するプロキシの実行時設定を変更できました。
設定変更を悪用すると、プロセスが読み取れる任意のファイルを取得できたとしています。低権限ユーザーによる既定の管理者アカウントの乗っ取りや、クラウド上の悪意あるPythonモジュールを使った遠隔コード実行も可能だったと報告しています。
情シスにとっての確認点は、ログインを求めているかだけではありません。一般利用者として渡したアカウントから、管理者向けの設定操作までできてしまわないかを確認する必要があります。
提供元のキー流出につながる問題も報告
「Clientside LLM Credentials」機能には、サーバー側の通信を意図しない宛先へ向けさせるSSRFという脆弱性があったとしています。Check Pointによると、APIの呼び出し先を変更し、LLM提供元のキーを流出させることが可能でした。APIは、システム同士が機能やデータをやり取りする仕組みです。
設定変更の権限だけでなく、外部への接続先と、接続に使うキーの管理も点検対象になります。更新作業を担当する人と、LLM提供元のキーを管理する人が別の場合は、双方で確認結果を共有してください。
報告された問題は1.83.9で修正済みですが、調査対象として示された版はv1.77.7です。それ以外の版の影響範囲は、提示された発表情報には書かれていません。また、日本での提供は発表には書かれていません。国内で利用している会社も、地域ではなく、自社の構成と版を確認するのが今回の点検の出発点です。
影響する会社・しない会社
- 影響する: 調査対象のLiteLLM v1.77.7ゲートウェイを利用している会社です。低権限の認証済みユーザーにも設定変更が可能だった点を踏まえ、利用者の権限を確認してください。
- 影響する: LiteLLMのゲートウェイで「Clientside LLM Credentials」を利用している会社は、SSRFに関する確認対象です。機能固有の詳しい対象版や設定条件は、発表には書かれていません。
- 影響しない: LiteLLM 1.83.9については、今回報告された脆弱性は修正済みとされています。これは、ほかの問題も含めた安全性を保証する説明ではありません。
- 影響しない: 今回の調査対象はゲートウェイです。SDKだけを使う構成への影響は発表には書かれていないため、ゲートウェイの調査結果をそのまま当てはめることはできません。
情シスが今日やること
- 今日の棚卸しで、AI基盤の担当者や委託先にLiteLLMの利用有無を確認します。ゲートウェイかSDKかを分け、稼働環境の導入情報で版を確かめて記録してください。
- ゲートウェイの利用者一覧と権限設定を確認します。一般利用者と管理者を区別し、「/config/update」を誰が操作できる構成か、運用担当者に確認してください。画面上で制限されていることだけで判断しないようにします。
- 「Clientside LLM Credentials」の利用有無と、LLM提供元のキーの管理担当を確認します。利用している場合は、呼び出し先の設定とキーの扱いを点検対象として、AI基盤担当者とセキュリティ担当者に共有します。
- 調査対象版を使っている場合は、修正済みの1.83.9への更新を検討します。作業前にAI機能の利用部門と確認項目を合わせ、更新日と担当者を決めてください。発表には更新期限が書かれていないため、社内で期限を設定し、更新後の稼働版まで確認します。
