LiteLLM: クロスドメインでのSaltキーの再利用によるプロキシ管理者権限の昇格
### 概要
`internal_user`権限を持つ認証済みユーザーが、`proxy_admin`権限に昇格し、リモートコード実行を達成する可能性があります。プロキシは、暗号化キーを2つの目的で使用します。それは、保存されている機密情報を保護することと、セッショントークンを発行することです。攻撃者は、偽の管理者認証情報を「secret」の値として含む、細工されたメタデータフィールドを含む新しいAPIキーを要求することで、この脆弱性を悪用します。プロキシは、このペイロードを暗号化して返します。この値がベアラートークンとして提示されると、プロキシはそれを復号化し、偽の管理者IDを信頼し、完全な管理者権限を付与します。これにより、MCP stdioエンドポイントを介して任意のコマンドを実行できるようになります。
### 影響を受けるバージョン
デフォルト設定では、1.91.0以降のバージョンが脆弱です。1.87.0から1.90.xまでのバージョンは、`EXPERIMENTAL_UI_LOGIN=true`が明示的に設定されている場合にのみ脆弱です。
### 対策
可能な限り早く、修正されたバージョンにアップグレードしてください。
すぐにアップグレードできない場合は、`EXPERIMENTAL_UI_LOGIN=false`を設定してください。これにより、脆弱な認証パスが無効になりますが、CLI SSOおよびClaude Codeゲートウェイのログインも機能しなくなります。
### 影響
内部ユーザーがプロキシ管理者権限に昇格し、ホスト上で任意のコマンドを実行できるようになる可能性があります。
**発見者:** Hoa X. Nguyen (OPSWAT Unit 515)
影響を受けるパッケージ:
- pip (Python) litellm: 影響を受けるバージョン >= 1.91.0、< 1.100.4、修正バージョン 1.100.4
- pip (Python) litellm: 影響を受けるバージョン >= 1.101.0、< 1.101.3、修正バージョン 1.101.3
- pip (Python) litellm: 影響を受けるバージョン >= 1.102.0、< 1.102.2、修正バージョン 1.102.2
- pip (Python) litellm: 影響を受けるバージョン >= 1.103.0、< 1.103.1、修正バージョン 1.103.1
- pip (Python) litellm: 影響を受けるバージョン >= 1.104.0rc1、< 1.104.0rc2、修正バージョン 1.104.0rc2