CVE-2026-42271
BerriAI LiteLLM Command Injection Vulnerability
Beschreibung
CVE-2026-42271 ist eine Command-Injection-Schwachstelle mit hohem Schweregrad in LiteLLM, einem Proxy-Server (AI-Gateway), der LLM-APIs im OpenAI-Format aufruft. In den Versionen ab 1.74.2 bis vor 1.83.7 akzeptierten zwei Endpunkte zur Vorschau eines MCP-Servers vor dem Speichern — POST /mcp-rest/test/connection und POST /mcp-rest/test/tools/list — eine vollständige Server-Konfiguration einschließlich der Felder command, args und env des stdio-Transports und starteten den übergebenen Befehl als Subprozess auf dem Proxy-Host. Die Endpunkte waren nur durch einen gültigen Proxy-API-Schlüssel ohne Rollenprüfung abgesichert, sodass jeder authentifizierte Nutzer, auch Inhaber gering privilegierter Internal-User-Schlüssel, beliebige Befehle auf dem Host ausführen konnte. CVE-2026-42271 ist mit CVSS 8.8 (hoch) bewertet, im CISA-KEV-Katalog gelistet und wurde in Version 1.83.7 behoben. Betreiber von LiteLLM sollten sofort aktualisieren, da diese Command-Injection-Schwachstelle gering privilegierten Nutzern Remote-Code-Execution verschafft.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| litellm | litellm | >= 1.74.2, < 1.83.7 |
| redhat | openshift ai | >= 2.25, < 2.25.8; >= 3.3, < 3.3.4; 3.4 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://github.com/BerriAI/litellm/releases/tag/v1.83.7-stable(Product, Release Notes)
- https://github.com/BerriAI/litellm/security/advisories/GHSA-v4p8-mg3p-g94g(Mitigation, Patch, Vendor Advisory)
- https://access.redhat.com/errata/RHSA-2026:27784(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2026:28960(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2026:30056(Third Party Advisory)
- https://access.redhat.com/security/cve/CVE-2026-42271(Third Party Advisory)
- https://bugzilla.redhat.com/show_bug.cgi?id=2467924(Third Party Advisory)
- https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-42271.json(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-42271(US Government Resource)
Schwachstellentyp
CWE-77: Unzureichende Neutralisierung spezieller Elemente in einem Befehl ('Command Injection')
CVE-2026-42271 wird unter CWE-77 klassifiziert — Command Injection. Die MCP-Vorschau-Endpunkte übernehmen einen vom Angreifer gelieferten Befehl (mit args und Umgebung) aus dem Request-Body und führen ihn aus, sodass extern kontrollierte Eingaben direkt bestimmen, welcher Befehl auf dem Proxy-Host läuft.
Mehr erfahren: CWE-77 — Command Injection
CWE-78: Unzureichende Neutralisierung spezieller Elemente in einem OS-Befehl ('OS Command Injection')
CVE-2026-42271 ist zudem CWE-78 zugeordnet — OS Command Injection. Da der übergebene Befehl als Subprozess auf dem Host mit den Rechten des Proxy-Prozesses gestartet wird, führt der Fehler zu beliebiger OS-Befehlsausführung auf dem LiteLLM-Server.
Mehr erfahren: CWE-78 — OS Command Injection
Auswirkungsanalyse
CVE-2026-42271 hat einen CVSS-3.1-Basiswert von 8.8 (hoch). Angriffsvektor (Netzwerk): Die verwundbaren Endpunkte sind über das Netzwerk erreichbar. Angriffskomplexität (niedrig): Das Senden der manipulierten Anfrage erfordert keine besonderen Voraussetzungen. Erforderliche Rechte (niedrig): Jeder gültige Proxy-API-Schlüssel genügt, auch gering privilegierte Internal-User-Schlüssel, da die Endpunkte keine Rollenprüfung durchführten. Benutzerinteraktion (keine): Es ist keine Opferaktion nötig. Vertraulichkeit, Integrität und Verfügbarkeit (hoch): Der übergebene Befehl läuft als Subprozess mit den Rechten des Proxy-Prozesses und verschafft dem Angreifer beliebige Codeausführung auf dem LiteLLM-Host sowie Zugriff auf die vom Gateway vermittelten API-Schlüssel, Modelle und Daten. Mit einem EPSS-Score von rund 54 % (99. Perzentil) und bestätigter aktiver Ausnutzung ist das praktische Risiko die vollständige Kompromittierung des AI-Gateways durch jeden authentifizierten Nutzer.
Exploit-Reifegrad
CISA hat CVE-2026-42271 in den Known-Exploited-Vulnerabilities-Katalog aufgenommen und damit die aktive Ausnutzung in der Praxis bestätigt. Die Referenzen umfassen das GitHub-Security-Advisory GHSA-v4p8-mg3p-g94g und das fehlerbereinigte Release v1.83.7-stable, die die verwundbaren Endpunkte detailliert dokumentieren. Der EPSS-Score von rund 54 % (99. Perzentil) deutet auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin. Mit bestätigter Ausnutzung, einem detaillierten öffentlichen Advisory und einer niedrigen Rechteschwelle erfordert diese Schwachstelle sofortiges Handeln.
Behebung
- Der Vorgabe von Hersteller und CISA folgen und LiteLLM auf Version 1.83.7 oder neuer aktualisieren, die die verwundbaren MCP-Vorschau-Endpunkte behebt.
- Bis zum Upgrade den Netzwerkzugriff auf die LiteLLM-Admin- und /mcp-rest-Endpunkte einschränken und begrenzen, wer Proxy-API-Schlüssel erhalten kann.
- Alle bestehenden Proxy-API-Schlüssel als potenziell missbraucht behandeln: Schlüssel sowie alle vom Proxy-Host erreichbaren Zugangsdaten oder Secrets rotieren, da die Ausnutzung nur einen gering privilegierten Schlüssel erfordert.
- Logs auf Anfragen an POST /mcp-rest/test/connection und POST /mcp-rest/test/tools/list mit stdio-Konfigurationen sowie auf unerwartete Subprozess-Ausführung auf dem Host prüfen.
- Als langfristige Härtung rollenbasierte Autorisierung auf privilegierten Endpunkten durchsetzen und niemals vom Nutzer gelieferte Befehle starten; jede notwendige Subprozess-Ausführung hinter strengen Allowlists isolieren (gemäß Command-Injection-Empfehlung).
Technische Details
Die Schwachstelle kombiniert CWE-77 (Command Injection) und CWE-78 (OS Command Injection): Die MCP-Vorschau-Endpunkte akzeptieren eine vollständige stdio-Transport-Konfiguration — command, args und env — und starten beim Testen der Verbindung diesen Befehl als Subprozess auf dem Proxy-Host. Wie der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H zeigt, sendet ein authentifizierter Nutzer mit einem beliebigen gültigen Proxy-API-Schlüssel eine manipulierte Anfrage an POST /mcp-rest/test/connection oder POST /mcp-rest/test/tools/list, die einen vom Angreifer gewählten Befehl angibt; da die Endpunkte nur die API-Schlüssel-Validierung und keine Rollenprüfung durchführten, wird der Befehl mit den Rechten des Proxy-Prozesses ausgeführt. Das Fehlen einer Autorisierungsprüfung bei einer Funktion, die beliebige Befehle ausführt, ist der Kern des Fehlers, der in Version 1.83.7 behoben wurde.
Häufig gestellte Fragen
Wird CVE-2026-42271 aktiv ausgenutzt?
Ja. CVE-2026-42271 ist im Known-Exploited-Vulnerabilities-Katalog der CISA gelistet, und der EPSS-Score von rund 54 % (99. Perzentil) deutet auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin. Ein detailliertes GitHub-Security-Advisory ist öffentlich verfügbar.
Welche Produkte sind von CVE-2026-42271 betroffen?
LiteLLM (BerriAI) ist in den Versionen ab 1.74.2 bis vor 1.83.7 betroffen. Das Problem ist in Version 1.83.7 behoben.
Wie behebe ich CVE-2026-42271?
Aktualisieren Sie LiteLLM auf Version 1.83.7 oder neuer. Da die Ausnutzung nur einen gering privilegierten API-Schlüssel erfordert, rotieren Sie zudem Proxy-API-Schlüssel und alle vom Host erreichbaren Secrets und prüfen Sie Logs auf Missbrauch der MCP-Test-Endpunkte.
Wie schwerwiegend ist CVE-2026-42271?
Sie ist als hoch mit einem CVSS-3.1-Basiswert von 8.8 eingestuft. Jeder authentifizierte Nutzer, selbst mit gering privilegiertem Schlüssel, kann Remote-Code-Execution auf dem LiteLLM-Host erreichen, und die Schwachstelle ist als aktiv ausgenutzt bestätigt, weshalb sie sofort gepatcht werden sollte.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.