🇰🇷 한글 설명
BerriAI LiteLLM 1.95.0 이하 버전의 Spend Tracking 컴포넌트에서 권한 우회 취약점이 발견되었습니다. spend_management_endpoints.py 파일의 ui_view_session_spend_logs 함수 내 session_id 인자를 조작하여 발생하며, 원격 공격자가 이를 악용할 수 있습니다.
💡 쉬운 설명
로그를 확인하는 과정에서 아이디 값을 교묘하게 바꾸면 다른 사람의 사용 기록을 몰래 볼 수 있는 보안 결함입니다. 해커가 멀리서도 이 문제를 이용해 권한을 넘어서 정보를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
A flaw has been found in BerriAI LiteLLM up to 1.95.0. Affected by this issue is the function ui_view_session_spend_logs of the file litellm/proxy/spend_tracking/spend_management_endpoints.py of the component Spend Tracking. Executing a manipulation of the argument session_id can lead to authorization bypass. It is possible to launch the attack remotely. The exploit has been published and may be used. Upgrading to version 1.96.0 can resolve this issue. This patch is called 722d9ffa4f6c5ae15702ab9ab2c5f6bf1688308b. The affected component should be upgraded.
📍 영향받는 시스템
BerriAI LiteLLM 1.95.0 및 그 이전 버전
⚔️ 공격 벡터
원격에서 session_id 인자 조작을 통한 권한 우회 공격
🛡️ 대응 방법
LiteLLM 버전을 1.96.0 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 1.96.0 미만(예: 1.95.0)이면 취약한 상태입니다.
pip show litellm | grep Version