LiteLLM< 1.84.0 不適切な認証の脆弱性(GHSA-7488-6r32-c95q)

high Nessus プラグイン ID 364361

Language:

概要

リモートホストに、脆弱なバージョンの LiteLLM がインストールされています。

説明

リモートホストにインストールされている LiteLLM Python パッケージのバージョンは、 1.84.0 より前です。したがって、脆弱性の影響を受けます。

- LiteLLM には、MCP Streamable HTTP エンドポイントに不適切な認証の脆弱性があります。LiteLLM キーの検証が失敗すると、フォールバック OAuth2 パススルーパスは、リクエストを拒否するのではなく、空の UserAPIKeyAuth() オブジェクトをセッションに入力します。認証されていない攻撃者が、捏造されたベアラートークンを供給してこのフォールバックを発生させ、認証された MCP セッションを確立し、有効な認証情報なしで MCP ツールおよび接続サービスへのアクセスを取得する可能性があります。(CVE-2026-59822)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。