LiteLLM की कमांड इंजेक्शन और स्टार्लेट के BadHost बाईपास ने बनाया CVSS 10.0 का ख़तरनाक कॉम्बो

• POST /mcp-rest/test/connection

• POST /mcp-rest/test/tools/list

ये दोनों एंडपॉइंट्स JSON रिक्वेस्ट बॉडी में एक पूरा MCP सर्वर कॉन्फ़िगरेशन स्वीकार करते हैं, जिसमें Cmd, args, और env फील्ड्स शामिल हैं जिनका इस्तेमाल stdio ट्रांसपोर्ट सर्वर प्रोसेस शुरू करने के लिए करता है । जब कोई प्रमाणीकृत यूज़र इस कॉन्फ़िगरेशन के साथ इनमें से किसी भी एंडपॉइंट को कॉल करता है, तो LiteLLM दिए गए Cmd को लेकर उसे होस्ट मशीन पर एक सबप्रोसेस के रूप में स्पॉन कर देता है और उसे वही ऑपरेटिंग सिस्टम प्रिविलेज देता है जो LiteLLM प्रॉक्सी प्रोसेस के पास हैं ।

शुरुआत में, BerriAI ने इसे एक प्रमाणीकृत रिमोट कोड एग्जिक्यूशन बग के रूप में खुलासा किया था—यानी हमलावर को इन एंडपॉइंट्स तक पहुंचने के लिए एक वैध API की की ज़रूरत थी, और यह चेक करने के लिए कोई रोल-बेस्ड सुरक्षा नहीं थी कि कौन इन्हें कॉल कर सकता है। कोई भी कम-प्रिविलेज वाला आंतरिक यूज़र जिसके पास कोई भी वैध प्रॉक्सी API की हो, होस्ट पर मनमाने कमांड चला सकता था । लेकिन कहानी यहीं खत्म नहीं होती।

स्टार्लेट का BadHost बाईपास जो प्रमाणीकरण की ज़रूरत को खत्म कर देता है

दूसरी कमज़ोरी है CVE-2026-48710, जिसे शोधकर्ताओं ने "BadHost" नाम दिया है। यह Starlette में एक होस्ट-हेडर वैलिडेशन की खामी है। Starlette एक हल्का-फुल्का ASGI फ्रेमवर्क है जो FastAPI, vLLM, और हज़ारों अन्य Python वेब एप्लिकेशन—LiteLLM सहित—की नींव है । 0.8.3 से लेकर 1.0.0 तक के सभी Starlette वर्जन इससे प्रभावित हैं ।

इसकी असली वजह एक पार्सर असहमति है कि Starlette आने वाली रिक्वेस्ट को कैसे रूट करता है और वो एप्लिकेशन लॉजिक के लिए URL को कैसे दोबारा बनाता है । ASGI राउटिंग लेयर यह तय करने के लिए कि कौन सा एंडपॉइंट रिक्वेस्ट को हैंडल करेगा, रॉ HTTP पाथ का इस्तेमाल करती है। लेकिन request.url—जिसे एप्लिकेशन का मिडलवेयर और डेकोरेटर्स देखते हैं—रॉ Host हेडर वैल्यू को रिक्वेस्ट पाथ के साथ जोड़कर दोबारा बनाया जाता है, बिना किसी सही जांच के ।

Host हेडर में यूज़र URI अथॉरिटी-टू-पाथ डिलीमीटर जैसे कि ? या # इंजेक्ट करके, एक हमलावर request.url.path को असली रूटेड पाथ से बिल्कुल अलग दिखा सकता है । मिडलवेयर एक मासूम पाथ जैसे / देखता है, जबकि राउटर पर्दे के पीछे रिक्वेस्ट को असली टारगेट एंडपॉइंट पर भेज देता है। कोई भी पाथ-बेस्ड ऑथेंटिकेशन मिडलवेयर जो request.url.path पर भरोसा करता है, आसानी से बाईपास किया जा सकता है ।

दोनों को जोड़ने पर: 8.7 से सीधे 10.0 तक का सफर

LiteLLM का ऑथेंटिकेशन डेकोरेटर यह चेक करता है कि किसी रिक्वेस्ट के लिए वैध API की की ज़रूरत है या नहीं, यह request.url.path को देखकर करता है। BadHost बाईपास एक हमलावर को उस URL में हेरफेर करने देता है ताकि ऑथेंटिकेशन मिडलवेयर को एक ऐसा पाथ दिखे जिसे प्रमाणीकरण की आवश्यकता नहीं है, जबकि ASGI राउटर उसी समय रिक्वेस्ट को उन कमज़ोर MCP कमांड इंजेक्शन एंडपॉइंट्स में से किसी एक पर भेज देता है ।

यह इंटरनेट और मनमाने कमांड एग्जिक्यूशन के बीच खड़े इकलौते एक्सेस-कंट्रोल गेट को हटा देता है। बिना किसी क्रेडेंशियल और नेटवर्क तक पहले से पहुंच के, एक हमलावर एक सिंगल क्राफ्टेड HTTP रिक्वेस्ट भेज सकता है जो पूरी तरह से प्रमाणीकरण को बाईपास कर देती है और LiteLLM प्रॉक्सी होस्ट पर ऑपरेटिंग सिस्टम कमांड चलाती है । Horizon3.ai ने पुष्टि की कि पूरी चेन काम करती है और इसे 10.0 का संयुक्त CVSS स्कोर—अधिकतम गंभीरता—दिया क्योंकि यह बिना प्रमाणीकरण के रिमोट कोड एग्जिक्यूशन हासिल करती है ।

इस एक्सेस से हमलावर क्या-क्या कर सकते हैं

सफल शोषण हमलावरों को LiteLLM प्रॉक्सी प्रोसेस के प्रिविलेज के साथ कमांड एग्जिक्यूशन देता है। यहां से खतरे की सतह तेजी से फैलती है:

• मनमाना कमांड एग्जिक्यूशन: हमलावर बैकडोर, मैलवेयर, क्रिप्टोकरेंसी माइनर्स, या कोई भी अन्य सॉफ्टवेयर इंस्टॉल कर सकते हैं जिसकी होस्ट प्रोसेस परमिशन अनुमति देती है ।
• बड़े पैमाने पर क्रेडेंशियल चोरी: LiteLLM प्रॉक्सी एप्लिकेशन और दर्जनों LLM प्रदाताओं (जैसे OpenAI, Anthropic, Azure, AWS Bedrock, Google) के बीच बैठता है। यह इन सभी से जुड़ी API कीज़ को अपने डेटाबेस या एनवायरनमेंट वेरिएबल्स में स्टोर करता है । इस कमज़ोरी का फायदा उठाकर हमलावर एक ही ऑपरेशन में सभी स्टोर किए गए क्रेडेंशियल्स चुरा सकते हैं।
• AI इंफ्रास्ट्रक्चर में लेटरल मूवमेंट: चुराई गई क्लाउड API कीज़ और प्रॉक्सी होस्ट के शेल एक्सेस के साथ, हमलावर जुड़ी हुई सेवाओं, आंतरिक MCP सर्वरों, वेक्टर डेटाबेसों, और डाउनस्ट्रीम एजेंट फ्रेमवर्क्स में घुस सकते हैं ।
• व्यापक इकोसिस्टम के निहितार्थ: Starlette की BadHost खामी 4,00,000 से अधिक निर्भर परियोजनाओं को प्रभावित करती है, जिनमें FastAPI एप्लिकेशन, vLLM सर्वर, MCP सर्वर डिप्लॉयमेंट और AI एजेंट फ्रेमवर्क शामिल हैं। इनमें से कोई भी जो 1.0.1 से पहले के Starlette वर्जनों पर पाथ-बेस्ड ऑथेंटिकेशन मिडलवेयर का उपयोग करता है, वह इसी तरह प्रमाणीकरण बाईपास के संपर्क में है ।

CISA के कदम ने क्यों बढ़ाई तात्कालिकता

CISA द्वारा 8 जून, 2026 को CVE-2026-42271 को KEV कैटलॉग में शामिल करना इस बात की पुष्टि करता है कि यह भेद्यता अब केवल सैद्धांतिक नहीं है—हमलावर इस समय सक्रिय रूप से इसका हथियार बना रहे हैं । बाध्यकारी परिचालन निर्देश (Binding Operational Directive) 22-01 के तहत, सभी अमेरिकी संघीय कार्यकारी शाखा एजेंसियों को एक निर्धारित समय सीमा के भीतर KEV-सूचीबद्ध कमजोरियों को पैच करना होता है। साथ ही, CISA सभी संगठनों, चाहे वो सार्वजनिक हों या निजी, को ज़ोरदार सिफारिश करता है कि वे KEV में शामिल किसी भी चीज़ को आपातकालीन पैचिंग प्राथमिकता मानें ।

तत्काल उपचार के कदम

इस चेन्ड एक्सप्लॉइट के लिए फिक्स दो मोर्चों पर अपडेट की मांग करता है, साथ ही क्रेडेंशियल एक्सपोजर से निपटने के लिए कई गहन-रक्षा उपायों की ज़रूरत है:

1. LiteLLM को वर्जन 1.83.7 या उसके बाद वाले वर्जन पर अपग्रेड करें। यह रिलीज़ MCP टेस्ट एंडपॉइंट्स की यूजर-सप्लाइड कमांड्स को सीधे एक्सीक्यूट करने की क्षमता को हटा देती है, जिससे कमांड इंजेक्शन का रास्ता पूरी तरह से बंद हो जाता है ।
2. Starlette को वर्जन 1.0.1 या उसके बाद वाले वर्जन पर अपग्रेड करें। यह पैच आने वाले Host हेडर्स को URL स्पेसिफिकेशन के खिलाफ वैलिडेट करता है और अमान्य करैक्टर्स वाले हेडर्स को इग्नोर करता है, जिससे पाथ-कन्फ्यूजन ट्रिक को रोका जा सके जो प्रमाणीकरण बाईपास की जड़ है ।
3. हर एक सेव किए गए क्रेडेंशियल को तुरंत रोटेट (बदल) करें। यह मानकर चलें कि LiteLLM प्रॉक्सी ने अब तक जो भी API की, एक्सेस टोकन, या डेटाबेस क्रेडेंशियल स्टोर किया है, वे सब कम्प्रोमाइज़ हो चुके हैं। OpenAI, Anthropic, Azure, AWS और अन्य सभी प्रदाताओं की सभी कीज़ को रोटेट करें, और बिलिंग डैशबोर्ड में अनधिकृत उपयोग की जांच करें ।
4. रिवर्स प्रॉक्सी या WAF पर इन एंडपॉइंट्स को ब्लॉक करें। जब तक पैच रोल आउट हो रहे हैं, एक गहन-रक्षा उपाय के रूप में, अपने रिवर्स प्रॉक्सी या वेब एप्लिकेशन फायरवॉल को कॉन्फ़िगर करें ताकि

   POST /mcp-rest/test/connection

   और

   POST /mcp-rest/test/tools/list

   पर आने वाली किसी भी रिक्वेस्ट को एप्लिकेशन तक पहुंचने से पहले ही ड्रॉप कर दिया जाए ।
5. पूर्वव्यापी रूप से अनधिकृत पहुंच की ऑडिट करें। MCP टेस्ट एंडपॉइंट्स पर किसी भी असामान्य गतिविधि के लिए LiteLLM प्रॉक्सी लॉग्स की जांच करें, विशेष रूप से अनपेक्षित IP पतों से आने वाले या हेरफेर किए गए Host हेडर वाले रिक्वेस्ट ।

CVSS 10.0 की संयुक्त गंभीरता, जंगल में सक्रिय शोषण, और CISA का KEV पदनाम इस बात का संकेत हैं कि LiteLLM या Starlette-संचालित सेवाएं चलाने वाले संगठनों को इसे एक आपातकालीन पैच-एंड-रोटेट घटना के रूप में लेना चाहिए। सक्रिय शोषण और क्रेडेंशियल चोरी के बीच की खिड़की पहले से ही खुली हुई है।