LiteLLM 曝出 CVSS 10 分漏洞：你的大模型网关攥着所有钥匙
LiteLLM 周二发布了一条严重级安全公告 GHSA-w4c7-34wj-hqm8，CVSS 评分 10.0。按项目方的原话，在装了企业版许可证的代理上，一个不需要身份验证的请求打到任意 LLM 路由，就可能让代理读取本地文件，再把内容发到攻击者指定的地址。读到进程环境变量，主密钥和各家模型服务商的 API 密钥就全漏了，某些配置下还能进一步以 root 身份执行代码。
影响范围要看清楚：没有许可证的开源部署不受影响，这是只有企业版才走的代码路径。修复版本是 1.103.10、1.104.8、1.105.6 和 1.106.5，比公告公开早了大约 35 分钟发出。如果你跑的是带许可证的代理，先升级再细读公告。暂时没法升级的话，公告里列了可以在 WAF 上过滤的请求字段。漏洞由 Karmasec 的 Dylan Ong 报告，Compass Security 的 Cyrill Bannwart 也独立发现了。目前还没有分配 CVE 编号。
这和我们前不久报道的 1.107.0 PyPI 投毒事件是两回事，按公告里的记录，这已经是 LiteLLM 自 5 月以来第三个严重级问题。但规律其实和 LiteLLM 本身关系不大。一个替所有模型服务商做前置的网关，按设计就是整套 agent 系统里唯一一台攥着所有密钥的机器，自然是价值最高的靶子。
公告里最有用的一句是缓解建议：这个攻击需要代理把偷到的文件发往攻击者的服务器，所以只要出站流量走白名单，就算漏洞代码被触发，数据也出不去。周一 Cohere 针对一个完全不同的问题给了同样的建议：agent 的出站访问默认拒绝。两类故障，同一个控制手段。如果你的网关或 agent 能访问整个互联网，这周就把它改掉。
公告：https://github.com/BerriAI/litellm/security/advisories/GHSA-w4c7-34wj-hqm8 版本发布：https://github.com/BerriAI/litellm/releases
← 返回所有文章
影响范围要看清楚：没有许可证的开源部署不受影响，这是只有企业版才走的代码路径。修复版本是 1.103.10、1.104.8、1.105.6 和 1.106.5，比公告公开早了大约 35 分钟发出。如果你跑的是带许可证的代理，先升级再细读公告。暂时没法升级的话，公告里列了可以在 WAF 上过滤的请求字段。漏洞由 Karmasec 的 Dylan Ong 报告，Compass Security 的 Cyrill Bannwart 也独立发现了。目前还没有分配 CVE 编号。
这和我们前不久报道的 1.107.0 PyPI 投毒事件是两回事，按公告里的记录，这已经是 LiteLLM 自 5 月以来第三个严重级问题。但规律其实和 LiteLLM 本身关系不大。一个替所有模型服务商做前置的网关，按设计就是整套 agent 系统里唯一一台攥着所有密钥的机器，自然是价值最高的靶子。
公告里最有用的一句是缓解建议：这个攻击需要代理把偷到的文件发往攻击者的服务器，所以只要出站流量走白名单，就算漏洞代码被触发，数据也出不去。周一 Cohere 针对一个完全不同的问题给了同样的建议：agent 的出站访问默认拒绝。两类故障，同一个控制手段。如果你的网关或 agent 能访问整个互联网，这周就把它改掉。
公告：https://github.com/BerriAI/litellm/security/advisories/GHSA-w4c7-34wj-hqm8 版本发布：https://github.com/BerriAI/litellm/releases
评论