🇰🇷 한글 설명
LiteLLM 1.74.2부터 1.83.7 이전 버전의 MCP 서버 테스트 엔드포인트는 사용자 입력을 검증 없이 프로세스를 생성하여 호스트에서 임의 명령을 실행할 수 있는 취약점이 있습니다. 인증된 저권한 사용자는 이를 통해 프록시 호스트에서 임의의 명령어를 실행할 수 있습니다.
💡 쉬운 설명
이 취약점은 시스템 설정을 테스트하는 과정에서 악의적인 명령어를 숨겨 실행할 수 있게 해줍니다. 공격자는 권한이 낮은 계정만 있어도 서버를 완전히 장악할 수 있습니다.
🇺🇸 원문 (English)
LiteLLM is a proxy server (AI Gateway) to call LLM APIs in OpenAI (or native) format. From version 1.74.2 to before version 1.83.7, two endpoints used to preview an MCP server before saving it — POST /mcp-rest/test/connection and POST /mcp-rest/test/tools/list — accepted a full server configuration in the request body, including the command, args, and env fields used by the stdio transport. When called with a stdio configuration, the endpoints attempted to connect, which spawned the supplied command as a subprocess on the proxy host with the privileges of the proxy process. The endpoints were gated only by a valid proxy API key, with no role check. Any authenticated user — including holders of low-privilege internal-user keys — could therefore run arbitrary commands on the host. This issue has been patched in version 1.83.7.
📍 영향받는 시스템
LiteLLM version >= 1.74.2 and < 1.83.7
⚔️ 공격 벡터
인증된 사용자가 MCP 테스트 엔드포인트를 통해 악성 구성을 전송하여 원격 명령어 실행
🛡️ 대응 방법
LiteLLM을 버전 1.83.7 이상으로 즉시 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 1.74.2 이상 1.83.7 미만인 경우 취약한 버전입니다.
pip show litellm 2>/dev/null | grep -i version | awk '{print $2}'