LiteLLMに権限昇格の欠陥 一般利用者が管理者になりコード実行

AIのモデルへの接続をまとめるゲートウェイのOSS「LiteLLM」のプロキシに、一般の利用者が管理者に上がれる欠陥がありました。internal_userの権限を持つ利用者が、proxy_admin(プロキシの管理者)になり、ホストで任意のコマンドを実行できます。深刻度はCriticalで、CVSSは9.9です。

開発元のBerriAIは2026年9月30日にGitHubで勧告(GHSA-7hp6-4w63-5g45)を出し、10月22日にCVE-2026-114612の番号が付きました。ドイツのCERT-Bundも同じ日に、注意の情報にこの番号を足しています。

勧告に書かれていること

直った版は、系列ごとに次のとおりです。

不正版の事故とは別の話

LiteLLMでは10月21日に、公開の仕組みが乗っ取られ、認証情報を盗むプログラムを入れた1.107.0が配られる事故がありました(LiteLLMの不正版が認証情報を窃取、導入版とコンテナの確認を)。

今回の欠陥は、それとは別の、プロキシそのものの作りの問題です。気をつけたいのは、不正版を避けるために古い版に固定している環境です。たとえば1.100.4より前に固定していると、不正版は避けられても、今回の欠陥の対象の版のままです(当社の見立て)。

影響する会社・しない会社

• 影響する: 社内でLiteLLMのプロキシを動かし、版が1.91.0以降で、上の直った版より前の会社です。既定の設定のままでも突かれます。
• 影響する: 1.87.0から1.90.xで、EXPERIMENTAL_UI_LOGIN=trueにしている会社です。
• 影響する: 社員や取引先に、internal_userの権限のアカウントやキーを渡している会社です。その人たちが、管理者に上がれる立場にあります。
• 影響しない: LiteLLMを使っていない会社と、PythonのライブラリとしてだけLiteLLMを使い、プロキシを動かしていない会社です(当社の見立て)。
• 影響しない: 直った版以降に上げている会社です。ただし、10月21日の不正版1.107.0は入れないでください。

情シスが今日やること

1. LiteLLMのプロキシを探します。 開発やAIの活用を受け持つ部署に、LiteLLMのプロキシを動かしているか、どの版かを聞きます。コンテナのイメージのタグや、Pythonの環境の版で確かめます。
2. 直った版に上げます。 1.100.4、1.101.3、1.102.2、1.103.1などの直った版か、それより新しい版に上げます。10月21日の不正版の1.107.0は避け、版とダイジェストで固定します。
3. すぐ上げられなければ、設定を変えます。 EXPERIMENTAL_UI_LOGIN=falseにします。CLIのSSOとClaude Codeのゲートウェイのログインが止まるので、使っている人に先に知らせます。
4. internal_userの利用者を棚卸しします。 誰にinternal_userの権限やキーを渡しているかを一覧にし、要らないものは止めます。
5. 管理者の操作の跡を確かめます。 proxy_adminの権限で、身に覚えのない操作がないか、MCPのstdioの窓口からコマンドが動いた跡がないかを、記録で確かめます(当社の見立て)。跡があれば、ホストを止めて調べ、プロキシに入れた各社のAPIキーを取り替えます。