Hackers Exploit LiteLLM Admin API Flaw to Turn Read-Only Access Into Full Server Takeover
2026/09/02 gbhackers — LiteLLM の管理 API に存在する重大な認可に関する脆弱性が、攻撃者により実環境で積極的に悪用されている。低権限の読み取り権限のみを持つユーザーが、この脆弱性を悪用することで、プロキシ設定の変更や機密性の高いシークレットの取得を可能にし、影響を受けるサーバの完全な侵害を引き起こす恐れがある。2026年2月から6月にかけて Zenity Labs の研究者は、73 個の IP アドレスから LiteLLM の管理エンドポイントを標的とする約 3,900 件のリクエストを確認した。そのうち約 1,000 件では、重要な “/config/update” エンドポイントを明確に標的とする、CVE-2026-35029 に関連するエクスプロイト・パターンが確認された。
LiteLLM Admin API の脆弱性
2026年4月6日に公表された脆弱性 CVE-2026-35029 は、設定更新ルートにおける認可チェックの欠落であり、LiteLLM バージョン 1.83.0 未満では、プロキシ設定の変更を許可する前に呼び出し元の管理者権限が検証されていなかったことに起因する。なお、この問題は、すでに LiteLLM バージョン 1.83.0 で修正されている。
LiteLLM は、モデル・プロバイダの API キー／ユーザーと支出に関するデータ／プロキシ設定／管理者の認証情報へのアクセスを一元化する AI ゲートウェイである。そのコントロール・プレーンを通じて、オペレータはキーの作成／モデルの設定／予算の設定／ユーザーの管理／稼働中の設定などを更新できる。このように重要な権限が管理 API に集約されているため、攻撃者にとって魅力的な標的となっている。脆弱な構成では、読み取り専用アカウントから “/config/update” を呼び出すことで、本来は管理者だけが実行できる設定変更まで可能になっていた。
この設定変更を利用した攻撃について研究者が指摘したのは、ダッシュボード上に表示される UI_LOGO_PATH 設定を変更することで、攻撃者がローカルファイルを制御できる点である。”.env” ファイル、設定用 YAML ファイル、”/proc/self/environ” などの機密ファイルを参照するよう設定すると、それらのファイルがサーバから読み取られ、その内容が未認証でアクセス可能な “/get_image” ルートを通じてリモートのリクエスト元へ漏洩する可能性がある。
それらのデータには、LiteLLM のマスターキー／AI プロバイダの認証情報／クラウド・アクセス・トークン／データベース接続文字列／Observability プラットフォームのシークレットなどが含まれる。したがって、同じ設定への書き込みアクセスにより、さらに深刻な乗っ取りに至る可能性もある。
具体的には、サーバ上の環境変数に保持されたシークレットについて、”os.environ/VARIABLE” 参照を解決することで、オペレータが定義したプロキシ・ルートを通じて LiteLLM に取得させることが可能になる。それにより、ダッシュボードのログインに使用する環境変数を変更できる攻撃者が、UI のユーザー名／パスワードを変更して管理者として認証される可能性がある。管理者として認証された攻撃者は、API キーの生成／ユーザーの作成／支出やデプロイに関するデータの確認／モデルの変更／リソースの削除といった、広範な操作を実行できる。
Zenity が実証した完全な攻撃チェーンは、LiteLLM バージョン 1.74.0 で、読み取り専用アカウント／機密性の高い環境ファイル／攻撃者が制御する収集サービスを組み合わせるものである。
“/config/update” を標的とする最初のプローブを研究者が検出したのは、CVE の公開翌日の4月7日である。その後の、5月5日から5月12日にかけて、”/app/.env”／”/home/litellm/.env”／設定ファイル／プロセスの環境データなどのシークレットが保存される一般的な場所を標的とする、ファイル読み取り用ペイロードが観測された。
観測された活動に、さらに含まれていたのは、デフォルトのマスターキーの推測／”/user/new” を通じた管理者ユーザーの作成試行／キー生成リクエスト／API の列挙／モデルの削除試行／SCIM エンドポイントの探索などである。研究者たちは、JavaScript 形式のプロトタイプ・ポリューション・ペイロードも発見したが、LiteLLM の Python ベースのプロキシに対しては機能しなかった。
LiteLLM を運用する組織に求められるのは、直ちにバージョン 1.83.0 以降へアップグレードすることである。管理者には、漏洩した可能性がある全シークレットのローテーション／デフォルト以外の強力なマスターキーの設定／コントロール・プレーンへのアクセス制限に加えて “/config/update”、”/get_image”、”/key/generate”、”/user/new” へのリクエストの監視が推奨される。
このキャンペーンが浮き彫りにしているのは、AI ゲートウェイに関連する、より広範なリスクである。明らかになったのは、設定管理を保護する認可制御が機能しない場合には、限定的な権限しか持たないアカウントから、インフラ全体の侵害へと発展する可能性である。
AI ゲートウェイ製品 LiteLLM に存在する脆弱性 CVE-2026-35029 の認可チェック不備を紹介する記事です。認証制御の欠落に伴う設定の不正変更／ローカルファイルの読み取り／管理者権限の奪取という連鎖的な影響が確認されています。本件の背景には管理エンドポイントにおける権限検証の不足があり、低権限アクセスからインフラ全体へ被害が拡大する恐れがあります。システム管理運用においては バージョン 1.83.0 以降へのアップデート／漏洩した認証情報の更新／コントロールプレーンへのアクセス制御強化／監視の徹底が強く求められます。
IoT OT Security News 
You must be logged in to post a comment.