Досье litellm-cve-2026-42271Захват агентаВесь мир
CISA внесла активно эксплуатируемую RCE-уязвимость ИИ-шлюза LiteLLM (CVE-2026-42271) в каталог KEV
Злоумышленники эксплуатировали внедрение команд в эндпоинтах предпросмотра MCP-сервера LiteLLM, которое в связке с обходом проверки Host в Starlette позволяет выполнять код удалённо без аутентификации и похищать ключи ИИ-провайдеров.
КритическаяАтака на ИИСтатус: ИсправленПроверенное досье
Открыть на интерактивной картеЦитировать это досье
- Дата сообщения
- 8 июн. 2026
- Локация
- Весь мир
- Цель
- Прокси BerriAI LiteLLM
- Критичность
- Критическая
- Инициатор
- Неизвестные злоумышленники, эксплуатирующие уязвимость в реальных атаках
- Тип субъекта
- Неизвестно
- Сектор
- Технологии и вендоры ИИ
- Заявленные убытки
- Не заявлены
- CVE
- CVE-2026-42271, CVE-2026-48710
Что произошло
Злоумышленники эксплуатировали внедрение команд в эндпоинтах предпросмотра MCP-сервера LiteLLM, которое в связке с обходом проверки Host в Starlette позволяет выполнять код удалённо без аутентификации и похищать ключи ИИ-провайдеров.
Последствия: Удалённое выполнение кода без аутентификации на открытых прокси LiteLLM и кража хранящихся ключей ИИ-провайдеров; число скомпрометированных развёртываний не раскрывается
Кто стоит за инцидентом
Субъект: Неизвестные злоумышленники, эксплуатирующие уязвимость в реальных атаках
Атрибуция: Публичной атрибуции нет; CISA подтвердила активную эксплуатацию, внеся уязвимость в KEV; цепочка проверена Horizon3.ai
Мотив: Захват ИИ-шлюзов и кража API-ключей вышестоящих ИИ-провайдеров
Как это произошло
Вектор атаки: POST-запрос к /mcp-rest/test/connection или /mcp-rest/test/tools/list с конфигурацией stdio MCP, команда из которой запускается как подпроцесс; в связке со Starlette BadHost (CVE-2026-48710) позволяет пропустить аутентификацию
Первопричина: Эндпоинты предпросмотра MCP выполняли команды, переданные пользователем, и были доступны любому владельцу API-ключа; Starlette восстанавливал пути запросов из непроверенных заголовков Host, что позволяло обойти промежуточное ПО аутентификации
Хронология
- Раскрыта CVE-2026-42271 в LiteLLM версий с 1.74.2 по 1.83.6
- LiteLLM 1.83.7 ограничивает доступ к тестовым эндпоинтам MCP ролью PROXY_ADMIN
- Раскрыта уязвимость Starlette BadHost (CVE-2026-48710); 1 июня Horizon3.ai подтверждает цепочку без аутентификации
- CISA вносит CVE-2026-42271 в KEV с крайним сроком для федеральных ведомств 22 июня
Реагирование
BerriAI выпустила версию 1.83.7, в Starlette 1.0.1 исправлена BadHost; уязвимость внесена в CISA KEV с крайним сроком устранения; рекомендована блокировка тестовых эндпоинтов на WAF
Текущий статус: Исправлен
Источники (открываются в новой вкладке)
- The Hacker News thehackernews.com
- Horizon3.ai horizon3.ai
- Wiz Vulnerability Database wiz.io
- Cloud Security Alliance labs.cloudsecurityalliance.org
Цитировать это досье
CISA внесла активно эксплуатируемую RCE-уязвимость ИИ-шлюза LiteLLM (CVE-2026-42271) в каталог KEV. AI Threat Watch, досье litellm-cve-2026-42271, 8 июн. 2026. https://aithreat.io/ru/cases/litellm-cve-2026-42271/
Постоянная ссылка: https://aithreat.io/ru/cases/litellm-cve-2026-42271/