LiteLLMのSQLインジェクションCVE-2026-42208の悪用
- タグ
- 国外
LiteLLMの2026年4月29日の発表によると、LiteLLM ProxyのAPIキー検証の経路にSQLインジェクション（CVE-2026-42208）があり、細工したAuthorizationヘッダーを付けた未認証の要求が、一定の条件の下で脆弱なクエリの経路に届きうる［1］。Sysdigはこの脆弱性への悪用の試みを観測したと報告した［9］。CISAは5月8日にKEVカタログへ加え、期限を5月11日とした［6］。
脆弱性の内容
| 項目 | 値 | 資料 |
|---|---|---|
| CVSS 4.0 | 9.3（Critical。GitHubの評価） | ［5］ |
| CVSS 3.1 | 9.8（NVDの評価） | ［6］ |
| CVSS 3.1 | 9.8（Red Hatの評価。深刻度はCritical、状態はdraft） | ［4］ |
| CWE | CWE-89 | ［5］ |
| 悪用されたときの影響 | プロキシのデータベースのデータを読むことができ、改変もできることがある。プロキシとプロキシが管理する認証情報への不正なアクセスに至る | ［5］ |
| 悪用の状況 | CISAのADPがSSVCでExploitationをactive、Automatableをyes、Technical Impactをtotalとした | ［5］ |
LiteLLMは、バグバウンティプログラムを通じてこの脆弱性の報告を受けたと説明した［1］。チームが報告を確認して安定版で修正し、その後GitHub Security Advisoryとして公開した〔注1〕［1、3］。意図しないデータベースへのアクセスに至る可能性があり、実際の影響は構成、ネットワークの露出、データベースの権限、保存したデータによるとした［1］。
CVE記録によると、プロキシのAPIキーの確認に使うデータベースのクエリが、呼び出し側の与えたキーの値を別のパラメータとして渡さず、クエリの文字列に混ぜていた［5］。未認証の攻撃者は、細工したAuthorizationヘッダーを任意のLLM APIの経路（例としてPOST /chat/completions）に送り、プロキシのエラー処理の経路からこのクエリに到達しうる［5］。
Sysdigの4月27日の報告では、影響版ではBearerの値がパラメータの結合なしにLiteLLM_VerificationTokenの表へのSELECT文に連結されていた［9］。この呼び出しは認証の判定より前に起きるため、注入は完全に認証前で、プロキシのポートに届くHTTPクライアントであれば足りる［9］。修正の注記が価値の高い表として挙げたのは、LiteLLM_VerificationToken（マスターキーを含む仮想APIキー）、litellm_credentials（保存されたプロバイダーの認証情報）、litellm_config（プロキシの環境変数）で、どれも1回のUNIONで届く［9］。
Bishop Foxは5月6日の報告で、この脆弱性を再現して確かめ、認証情報なしに任意のLLM APIの経路（/v1/chat/completions・/v1/completions・/v1/messages・/v1/embeddings）から届くとした［10］。応答の本文はどの探りでもHTTP 401と固定のJSONで同じだったため、PostgreSQLのpg_sleep()による時間差で悪用の成功を確かめた［10］。BerriAIのイメージと既定のPostgresを使う標準のDocker composeの構成では、アプリのDB利用者がスーパーユーザーで、LiteLLMが管理する全表への読み書きに至る［10］。仮想キーはSHA-256のハッシュで保存されるため、データベースの侵害で平文のAPIキーが直接得られるわけではないとした［10］。
Bishop Foxは、アドバイザリが発見者としてTencent YunDing Security Labを挙げていると書いた［10］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | LiteLLM | v1.83.7-stableのリリースノートを公開した | ［2］ |
| 2026年 | - | アドバイザリGHSA-r75f-5x8p-qvmcがLiteLLMのリポジトリのセキュリティタブで公開された（時刻はUTC） | ［9］ |
| 2026年 | - | アドバイザリが全体のGitHub Advisory Databaseに登録され、Dependabot・OSV・GHSAのミラーから見える状態になった（時刻はUTC） | ［9］ |
| 2026年 | - | 最初のSQLインジェクションの試みがあり、4時45分までにUNIONの攻撃文17本で3つの表を狙うスキーマの列挙が続いた（時刻はUTC） | ［9］ |
| 2026年 | - | 同じ/22・同じASの2つ目の送信元が攻撃文を再送し、認証なしで/key/generateと/key/infoを探った（時刻はUTC） | ［9］ |
| 2026年 | Sysdig | 観測の報告を公開した | ［9］ |
| 2026年 | Red Hat | CVE-2026-42208のページを公開した | ［4］ |
| 2026年 | LiteLLM | ブログで脆弱性を公表した | ［1］ |
| 2026年 | Bishop Fox | 再現と解析の報告を公開した | ［10］ |
| 2026年 | GitHub | CNAとしてCVE記録を公開した | ［5］ |
| 2026年 | CISA | KEVカタログに追加した | ［6］ |
対象の製品と版
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| LiteLLM Proxy | v1.81.16〜v1.83.6 | v1.83.7以降（推奨はv1.83.10-stable） | ［1］ |
Bishop Foxは、影響の期間が1.81.16で始まったとした［10］。この版で失敗時のメタデータを補う関数（_enrich_failure_metadata_with_key_info）が加わり、攻撃者のBearerの値がそのまま既存の照会に渡る経路ができた［10］。f-stringで組み立てるSQLは、少なくともv1.81.15からproxy/utils.pyにあった［10］。
Red Hatは、脆弱な版を使っていないため自社の製品は影響を受けないとし、Lightspeed Core、Ansible Automation Platform 2、OpenShift AIの4つのパッケージをNot affectedとした［4］。
悪用の状況
SysdigのThreat Research Team（TRT）は、アドバイザリが全体のデータベースに公開されてから36時間7分後に最初の悪用の試みを観測した〔注2〕［9］。通信は汎用のSQLmapの走査ではなく、本番のLiteLLMのスキーマを意図して列挙するもので、最も価値の高い秘密を持つ3つの表（仮想APIキー、保存されたプロバイダーの認証情報、プロキシの環境変数の設定）を狙っていた［9］。
Sysdigの報告では、操作者は小文字の表名で結果が無いと、Prismaが生成するPascalCaseの表名で再試行した［9］。Sysdigは、これがLiteLLMのPrismaのスキーマを事前に読んだか、LLMの助けを受けたことを示すとした［9］。litellm_usersやlitellm_teamのような無害な表への探りはなかった［9］。同じ送信元は10分の休止の後、NULLの数を変えて列数を探った（1・2・3・5・6列）［9］。
2つ目の送信元は21分の休止の後、25秒の間に攻撃文を送った［9］。UNIONの変種29本の後、最後の要求は恒真式の「OR 1=1」だった［9］。Sysdigはこの形を、人の入力ではなく自動化の道具のものと述べた［9］。
後続の行為として、窃取したキーを使った認証済みの呼び出しも、/key/generateによる仮想キーの発行も、プロバイダーの認証情報の再利用も見られなかった［9］。新しい点はスキーマの列挙の速さと精度にあり、侵害を確認したものではないとSysdigは説明した［9］。この操作者は、使えるキーを抜けなかったか、抜いたものを換金しなかったとみている［9］。
| 種別 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| 送信元のIPアドレス | 65.111.27.132（AS200373、3xK Tech GmbH、DE） | Sysdig | ［9］ |
| 送信元のIPアドレス | 65.111.25.67（AS200373、3xK Tech GmbH、DE） | Sysdig | ［9］ |
| 要求 | POST /chat/completions | Sysdig | ［9］ |
| User-Agent | Python/3.12 aiohttp/3.9.1 | Sysdig | ［9］ |
| Authorizationヘッダー | sk-litellm'（単一引用符の終端）で始まるBearerの値と、UNION SELECTや表名を含むヘッダー | Sysdig | ［9］ |
送信元のIPアドレスについてSysdigは、操作者の本当の発信元ではなく、プロキシや借りたVPSの場合があると注記した［9］。
Bishop Foxは、GHSAのアドバイザリの公開後まもなく顧客の攻撃面で脆弱なインスタンスを見つけ、影響のある顧客に同社のポータルで通知した［10］。
NVDは、KEVでの名称を「BerriAI LiteLLM SQL Injection Vulnerability」とした［6］。KEVが求める対応は、ベンダーの指示に沿った緩和策の適用、クラウドサービスでのBOD 22-01の指針への準拠、または緩和策が無い場合の製品の使用中止である［6］。CISAとベルギーのサイバーセキュリティセンター（CCB）は、この脆弱性についての告知と警告を掲載した［7、8］。
修正と回避策
- LiteLLMは、推奨の版のv1.83.10-stableに上げ、直接上げられなければv1.83.7以降のどの版に上げてもよいとした［1］。
- 影響版の稼働中にプロキシが信頼できないネットワークから到達できた場合は、Postgresのクエリ履歴をヘルパークエリで確かめるよう推奨した［1］。
- クエリの結果を送れば、LiteLLMが確認を手伝うとした［1］。
v1.83.7-stableのリリースノート〔注3〕は、「Authentication / Routing」の項に、combined_viewのトークン照会をパラメータ化したクエリに替える変更（PR #25467）を載せた［2］。
Bishop Foxは、アドバイザリの回避策（general_settings.disable_error_logsをtrueにする設定）が、assertの例外から失敗時の処理へ進む経路Bだけを緩和すると指摘した［10］。-Oでassertを外した構成では、回避策があっても経路Aで悪用できるままになる［10］。Bishop Foxが検証したのは標準のDockerの構成での経路Bで、経路Aは別には試していない［10］。
Sysdigは、更新できなければ、引用符・括弧・SQLのキーワードを含むAuthorizationヘッダーを止めるリバースプロキシを前に置くよう勧めた［9］。脆弱な版でインターネットから到達できた全インスタンスの仮想キー・マスターキー・プロバイダーの認証情報を替え、抽出の確認が無くてもデータベースを侵害されたものとみなすよう求めた［9］。
未公表の事項
- 悪用によって侵害された組織やインスタンスの数
- 悪用を試みた操作者の帰属
- 開発元のLiteLLMによる悪用の把握の有無
注
出典
当事者
- ［1］Berrie AI Incorporated『Security Update: CVE-2026-42208 in LiteLLM Proxy』（2026年4月29日公開）
- ［2］Berrie AI Incorporated『LiteLLM v1.83.7-stable - Per-User MCP OAuth, Team Spend Logs RBAC』（2026年4月18日公開）
- ［3］BerriAI『GHSA-r75f-5x8p-qvmc（SQL injection in Proxy API key verification）』（公開日不明、保存記録のみ） 保存記録
関係組織
- ［4］Red Hat, Inc.『CVE-2026-42208』（2026年4月28日公開）
公的機関
- ［5］CVE Program『LiteLLM: SQL injection in Proxy API key verification』（2026年5月8日公開、2026年7月15日更新）
- ［6］National Institute of Standards and Technology『CVE-2026-42208』（2026年5月8日公開、2026年10月26日更新）
- ［7］Cybersecurity and Infrastructure Security Agency『CISA Adds One Known Exploited Vulnerability to Catalog』（2026年5月8日公開、保存記録のみ） 保存記録
- ［8］Centre for Cybersecurity Belgium『Warning: LiteLLM pre-auth SQL injection (CVE-2026-42208), Patch Immediately!』（公開日不明、保存記録のみ） 保存記録
調査・観測
- ［9］Sysdig, Inc.『CVE-2026-42208: Targeted SQL injection against LiteLLM's authentication path discovered 36 hours following vulnerability disclosure』（2026年4月27日公開）
- ［10］Bishop Fox, LLC『CVE-2026-42208: Pre-Authentication SQL Injection in LiteLLM Proxy』（2026年5月6日公開、2026年6月11日更新）
報道機関
- ［11］The Hacker News『LiteLLM CVE-2026-42208 SQL Injection Exploited within 36 Hours of Disclosure』（2026年4月29日公開）
- ［12］株式会社ニュースベース『「BerriAI LiteLLM」にSQLi脆弱性 - 認証情報漏洩のおそれ、悪用も』（2026年5月11日公開）
更新記録
- 2026年5月3日：公開した。
- 2026年5月6日：Bishop Foxの5月6日の報告（出典10）を加え、「脆弱性の内容」「対象の製品と版」「悪用の状況」「修正と回避策」と時系列を改めた。
- 2026年5月8日：GitHubが公開したCVE記録（出典5）、NVDの記録（出典6）、CISAの告知（出典7）を加え、リード、「脆弱性の内容」の表、「悪用の状況」と時系列を改めた。
- 2026年5月11日：ベルギーのCCBの警告（出典8）とSecurity NEXTの5月11日の記事（出典12）を加え、「悪用の状況」と注を改めた。
- 2026年6月11日：Bishop Foxの報告の6月11日の更新版（出典10）に合わせ、「修正と回避策」の回避策の記述を改めた。
- 2026年7月15日：CVE記録の7月15日の更新版（出典5）に合わせ、「脆弱性の内容」の表の悪用の状況の行を改めた。
- 2026年10月26日：NVDの記録の10月26日の更新版（出典6）で示されたCVSS 3.1の基本値を「脆弱性の内容」の表に加えた。