CISA añade al KEV la RCE explotada activamente en la pasarela de IA LiteLLM (CVE-2026-42271)

Quién lo provocó

Actor: Atacantes desconocidos que explotan el fallo en el mundo real

Atribución: Sin atribución pública; CISA confirmó la explotación activa mediante su inclusión en el KEV; cadena validada por Horizon3.ai

Motivo: Toma de control de pasarelas de IA y robo de claves de API de proveedores de IA upstream

Cómo ocurrió

Vector de ataque: POST a /mcp-rest/test/connection o /mcp-rest/test/tools/list con una configuración MCP stdio cuyo comando se lanza como subproceso; encadenado con BadHost de Starlette (CVE-2026-48710) para omitir la autenticación

Causa raíz: Los endpoints de vista previa de MCP ejecutaban comandos suministrados por el usuario y estaban expuestos a cualquier titular de una clave de API; Starlette reconstruía las rutas de solicitud a partir de cabeceras Host sin validar, permitiendo eludir el middleware de autenticación

Cronología

1. 20 abr 2026Se divulga CVE-2026-42271 en LiteLLM 1.74.2 a 1.83.6
2. 8 may 2026LiteLLM 1.83.7 restringe los endpoints de prueba de MCP a PROXY_ADMIN
3. 26 may 2026Se divulga BadHost CVE-2026-48710 de Starlette; Horizon3.ai valida la cadena sin autenticación el 1 de junio
4. 8 jun 2026CISA añade CVE-2026-42271 al KEV con plazo federal del 22 de junio

Respuesta

BerriAI publicó la 1.83.7, Starlette 1.0.1 corrigió BadHost; inclusión en el KEV de CISA con plazo de remediación; se aconsejó el bloqueo con WAF de los endpoints de prueba

Estado actual: Parcheado