En kommandokjedeinjeksjon i den populære AI gatewayen LiteLLM (CVE 2026 42271) kombineres med en 'BadHost' sårbarhet i Starlette rammeverket (CVE 2026 48710) for å gi en kritisk CVSS score på 10.0. Angrepet utnytter to MCP testendepunkter i LiteLLM og en forvirring av forespørselsadressen i Starlette, noe som lurer...
What is the critical LiteLLM AI gateway command injection flaw (CVE-2026-42271, CVSS 8.7) that CISA has added to its Known Exploited VulneraA chained exploit combining command injection and a host-header bypass transforms the LiteLLM AI gateway into an unauthenticated remote code execution target, earning a maximum CVSS 10.0 severity rating.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is the critical LiteLLM AI gateway command injection flaw (CVE-2026-42271, CVSS 8.7) that CISA has added to its Known Exploited Vulnera. Article summary: Here is the full breakdown of this critical vulnerability chain.. Topic tags: general, government, general web, user generated, documentation. Reference image context from search candidates: Reference image 1: visual subject "[CVE-2026-42271 — BerriAI LiteLLM Command Injection Vulnerability →](https://securityonline.info/cve-watchtower/?cve_detail=CVE-2026-42271) [CVE-2026-50751 — Check Point Security G" source context "CISA Active Exploit Catalog Adds Critical Gateway Flaws" Reference image 2: visual subject "Cybersecurity control dashboard highlighting known exploited vulnerabilities and command injection attack alerts." source context "CISA KEV Update: Explo
openai.com
Den åpne kildekode-proxyen LiteLLM har blitt kritisk infrastruktur for organisasjoner som kobler applikasjoner til store språkmodeller. Et par nylige oppdagelser viser imidlertid hvor katastrofalt det kan gå når AI-sikkerheten svikter. Den 8. juni 2026 la det amerikanske cybersikkerhetsbyrået CISA sårbarheten CVE-2026-42271 – en kommandokjede-injeksjon i BerriAIs AI-gateway LiteLLM – til sin 'Known Exploited Vulnerabilities'-katalog (KEV) . Dette bekrefter at angripere allerede utnytter feilen aktivt.
Det som gjør situasjonen enda mer prekær, er at sikkerhetsforskere ved Horizon3.ai har demonstrert at sårbarheten kan lenkes perfekt med en separat svakhet i det populære Python ASGI-rammeverket Starlette. Resultatet er det verst tenkelige: uautentisert, ekstern kjøring av kode (RCE) med en maksimal CVSS-score på 10.0 .
Slik fungerer LiteLLM-feilen alene
Alene er CVE-2026-42271 en alvorlig sårbarhet med en CVSS-score på 8.7. Den påvirker alle LiteLLM-versjoner fra 1.74.2 til og med 1.83.6 . Problemet ligger i to forhåndsvisningsendepunkter for Model Context Protocol (MCP), designet for å la brukere teste en MCP-serverkonfigurasjon før den lagres permanent:
POST /mcp-rest/test/connection
POST /mcp-rest/test/tools/list
Begge mottar en full MCP-serverkonfigurasjon i JSON-forespørselen, inkludert feltene Cmd, args, og env. Disse brukes av stdio-transporten for å starte serverprosesser . Når en autentisert bruker kaller et av endepunktene, tar LiteLLM den oppgitte Cmd-verdien og kjører den som en underprosess på vertsmaskinen. Prosessen får de samme operativsystemrettighetene som LiteLLM-proxyen selv .
Opprinnelig anså BerriAI dette som en autentisert RCE-feil – en angriper måtte ha en gyldig API-nøkkel for å nå endepunktene. Men historien sluttet ikke der.
Den andre sårbarheten er CVE-2026-48710, kalt 'BadHost' av forskere. Dette er en feil i valideringen av Host-headeren i Starlette, som er det lette ASGI-rammeverket som understøtter FastAPI, vLLM og tusenvis av andre Python-webbapplikasjoner – inkludert LiteLLM . Alle Starlette-versjoner fra 0.8.3 til 1.0.0 er rammet .
Hovedårsaken er en uoverensstemmelse i hvordan Starlette ruter innkommende forespørsler kontra hvordan den rekonstruerer nettadressen (URL) for applikasjonslogikken . Rutinglaget bruker den rå HTTP-banen, men request.url, som applikasjonens middleware ser, bygges ved å sette sammen den rå Host-headerverdien med forespørselsbanen uten forsvarlig validering .
Ved å sette inn spesialtegn som ? eller # i Host-headeren, kan en angriper få request.url.path til å se ut som en ufarlig bane, for eksempel /, mens ruteren sender forespørselen videre til det egentlige sårbare endepunktet . All autentiseringsmiddleware som baserer seg på request.url.path, kan dermed omgås fullstendig .
Slik lenkes de to feilene: Fra 8.7 til 10.0
LiteLLMs autentiseringsdekoratør sjekker request.url.path for å avgjøre om en forespørsel krever en gyldig API-nøkkel. Ved hjelp av BadHost-forbigåelsen kan en angriper manipulere denne nettadressen slik at autentiseringsmiddlewaren ser en ufarlig bane, mens ASGI-ruteren samtidig sender forespørselen til et av de sårbare MCP-endepunktene .
Dermed fjernes den eneste adgangskontrollen som sto mellom internett og vilkårlig kodekjøring. En angriper uten noen form for påloggingsinformasjon kan sende en enkelt, ondsinnet HTTP-forespørsel, omgå all autentisering og kjøre operativsystemkommandoer på LiteLLM-vertsmaskinen . Kombinasjonen har fått en CVSS-score på 10.0 – maksimal alvorlighetsgrad .
Hva en angriper kan gjøre
Vellykket utnyttelse gir angripere kommandokjøring med de samme rettighetene som LiteLLM-proxyprosessen. Trusselbildet utvides deretter raskt:
Vilkårlig kodekjøring: Angripere kan installere bakdører, skadevare eller kryptominere .
Omfattende legitimasjonstyveri: LiteLLM-proxyen lagrer API-nøkler for OpenAI, Anthropic, Azure, AWS Bedrock og andre tilkoblede tjenester i sin database . En vellykket utnyttelse kan trekke ut alle lagrede nøkler i én enkelt operasjon.
Bevegelse sideveis i AI-infrastrukturen: Med stjålne skynøkler og skalltilgang kan en angriper bevege seg videre til interne MCP-servere, vektordatabaser, og tilknyttede agent-rammeverk .
Større økosystemkonsekvenser: Starrettes BadHost-feil påvirker over 400 000 avhengige prosjekter, inkludert FastAPI, vLLM og MCP-servere, og eksponerer dem for samme type autentiseringsforbigåelse .
Derfor øker CISA hastverket
CISAs avgjørelse om å inkludere CVE-2026-42271 i KEV-katalogen 8. juni 2026 bekrefter at dette ikke er en teoretisk trussel. Angripere aktivt utnytter sårbarheten akkurat nå . Alle amerikanske føderale etater er pålagt å utbedre KEV-listede feil umiddelbart, og CISA anbefaler på det sterkeste at alle organisasjoner, offentlige som private, behandler slike tillegg som en nødprioritet .
Tiltak som må iverksettes umiddelbart
Å fikse det lenkede angrepet krever oppdateringer på to fronter, samt noen defensive dybdetiltak:
Oppgrader LiteLLM til versjon 1.83.7 eller nyere. Denne versjonen fjerner MCP-testendepunktenes evne til å kjøre brukerstyrte kommandoer direkte .
Oppgrader Starlette til versjon 1.0.1 eller nyere. Rettelsen validerer innkommende Host-headere mot URL-spesifikasjonen .
Roter absolutt alle lagrede hemmeligheter umiddelbart. Gå ut fra at alle API-nøkler, tilgangstokener og databasenøkler som proxyen noensinne har lagret, er kompromittert. Roter nøkler for alle tjenester, og sjekk faktureringsdashbord for uautorisert bruk .
Blokker endepunktene i omvendt proxy eller WAF. Som et defensivt lag mens oppgraderingene rulles ut, konfigurer din omvendte proxy eller brannmur til å avvise alle forespørsler til
POST /mcp-rest/test/connection
og
POST /mcp-rest/test/tools/list
.
Sjekk logger for tegn på inntrengning. Gå gjennom LiteLLMs logger for uvanlig aktivitet mot MCP-testendepunktene, spesielt forespørsler fra ukjente IP-adresser eller med manipulerte Host-headere .
Kombinasjonen av en CVSS-score på 10.0, aktiv utnyttelse og en plass på CISAs KEV-liste betyr at dette er et nødstilfelle. Du må behandle dette som en umiddelbar "lapp og roter"-hendelse. Vinduet for angripere er allerede åpent.
Studio Global AI
Search, cite, and publish your own answer
Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.
What is the short answer to "LiteLLM-sårbarhet oppnår kritisk 10.0 CVSS i kjedeangrep – krever umiddelbar nedstenging"?
En kommandokjedeinjeksjon i den populære AI gatewayen LiteLLM (CVE 2026 42271) kombineres med en 'BadHost' sårbarhet i Starlette rammeverket (CVE 2026 48710) for å gi en kritisk CVSS score på 10.0.
What are the key points to validate first?
En kommandokjedeinjeksjon i den populære AI gatewayen LiteLLM (CVE 2026 42271) kombineres med en 'BadHost' sårbarhet i Starlette rammeverket (CVE 2026 48710) for å gi en kritisk CVSS score på 10.0. Angrepet utnytter to MCP testendepunkter i LiteLLM og en forvirring av forespørselsadressen i Starlette, noe som lurer applikasjonen til å behandle en ondsinnet forespørsel som uautentisert.
What should I do next in practice?
Umiddelbar utbedring krever oppgradering av LiteLLM til versjon 1.83.7, Starlette til 1.0.1, og – mest kritisk – rotering av absolutt alle API nøkler som LiteLLM proxyen noen gang har lagret.
