Lỗ hổng nghiêm trọng trên LiteLLM bị khai thác: Nguy cơ RCE không cần xác thực

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) vừa bổ sung lỗ hổng bảo mật nghiêm trọng trên BerriAI LiteLLM vào danh mục Known Exploited Vulnerabilities (KEV), sau khi ghi nhận bằng chứng về việc lỗ hổng này đang bị khai thác tích cực trong thực tế.

Chi tiết về lỗ hổng CVE-2026-42271

Lỗ hổng được định danh là CVE-2026-42271 (điểm CVSS 8.7) thuộc dạng command injection, cho phép người dùng đã xác thực thực thi các lệnh tùy ý trên máy chủ lưu trữ. Lỗ hổng này ảnh hưởng đến các phiên bản LiteLLM Python package từ 1.74.2 đến dưới 1.83.7.

Theo mô tả từ BerriAI, hai endpoint là POST /mcp-rest/test/connection và POST /mcp-rest/test/tools/list đã chấp nhận cấu hình máy chủ đầy đủ trong phần thân yêu cầu (request body), bao gồm các trường lệnh và đối số. Khi nhận cấu hình stdio, các endpoint này vô tình kích hoạt lệnh dưới dạng tiến trình con (subprocess) với đặc quyền của tiến trình proxy.

Chuỗi tấn công RCE không cần xác thực

Đáng chú ý, các nhà nghiên cứu từ Horizon3.ai đã phát hiện cách kết hợp lỗ hổng này với CVE-2026-48710 (điểm CVSS 6.5) – một lỗi bypass xác thực thông qua tiêu đề Host (Host header validation bypass) trong framework Starlette. Việc kết hợp này cho phép kẻ tấn công vượt qua hoàn toàn cơ chế xác thực, biến lỗ hổng thành Remote Code Execution (RCE) không cần thông tin đăng nhập, với mức độ nghiêm trọng đạt điểm CVSS tối đa là 10.0.

Nếu bị khai thác thành công, kẻ tấn công có thể:

• Thực thi lệnh tùy ý trên máy chủ LiteLLM.
• Đánh cắp thông tin xác thực của nhà cung cấp mô hình (model provider) và các API key được lưu trữ.
• Di chuyển ngang (lateral movement) trong hạ tầng AI.
• Tấn công các hệ thống hạ nguồn tích hợp với gateway.

Khuyến nghị bảo mật

Người dùng và quản trị viên hệ thống cần thực hiện các biện pháp sau ngay lập tức:

• Cập nhật phần mềm: Nâng cấp LiteLLM lên phiên bản 1.83.7 trở lên và Starlette lên phiên bản 1.0.1 trở lên.
• Chặn endpoint: Nếu chưa thể cập nhật, hãy chặn truy cập vào các endpoint /mcp-rest/test/connection và /mcp-rest/test/tools/list tại reverse proxy hoặc API gateway.
• Kiểm soát mạng: Giới hạn quyền truy cập mạng vào các phân đoạn tin cậy.
• Xoay vòng thông tin xác thực: Thực hiện thay đổi các API key và bí mật đã được lưu trữ bởi proxy.
• Giám sát: Kiểm tra log để phát hiện các hoạt động bất thường liên quan đến tiêu đề Host và các tiến trình con (subprocess) đáng ngờ.

Nguồn tham khảo: The Hacker News