CVE-2026-42271: Remote-Code-Ausführung in LiteLLM, bereits aktiv ausgenutzt

CVE-2026-42271: Remote-Code-Ausführung in LiteLLM, bereits aktiv ausgenutzt

In Kürze

CVE-2026-42271 ist eine Command-Injection-Schwachstelle in LiteLLM, einem Proxy-Server (AI Gateway), den viele Unternehmen zur zentralen Verwaltung des Zugriffs auf OpenAI-artige Sprachmodelle nutzen. Betroffen sind die Versionen 1.74.2 bis vor 1.83.7 [1]. Die Schwachstelle hat laut NVD einen CVSS-Wert von 8.7 mit dem Schweregrad "hoch" [1] und ist im Katalog der aktiv ausgenutzten Schwachstellen (KEV) von CISA gelistet [2]. Wenn Ihr Unternehmen LiteLLM als Gateway zu KI-Anbietern einsetzt, hat die Aktualisierung auf Version 1.83.7 oder höher heute oberste Priorität – ebenso wie die Überprüfung, wer über aktive API-Schlüssel verfügt.

Was es ist und warum es wichtig ist

LiteLLM bietet zwei Endpunkte —POST /mcp-rest/test/connection und POST /mcp-rest/test/tools/list— die dazu gedacht sind, die Konfiguration eines MCP-Servers zu testen, bevor sie gespeichert wird. Das Problem besteht darin, dass beide die vollständige Konfiguration in der Anfrage akzeptierten, einschließlich der Felder command, args und env, die vom "stdio"-Transport verwendet werden. Bei Erhalt einer solchen Konfiguration versuchte der Endpunkt, eine Verbindung herzustellen, indem er diesen Befehl als Subprozess auf dem Host des Proxys selbst ausführte, mit den Rechten des LiteLLM-Prozesses [1].

Der schwerwiegende Fehler liegt in der Zugriffskontrolle: Diese Endpunkte prüften lediglich, ob die Anfrage einen gültigen API-Schlüssel des Proxys enthielt, ohne die Rolle des Benutzers zu verifizieren. Das bedeutet, dass jeder authentifizierte Benutzer — einschließlich solcher, die nur über interne, niedrig privilegierte Schlüssel verfügen — beliebige Befehle auf dem Server ausführen konnte [1]. Der Hersteller hat bereits in Version 1.83.7 einen Patch veröffentlicht [1]. Dass die Schwachstelle im CISA-KEV-Katalog verzeichnet ist, zeigt, dass sie nicht nur theoretischer Natur ist: Es gibt Nachweise für aktive Ausnutzung in der Praxis [2], was die Dringlichkeit über das hinaus erhöht, was der CVSS-Wert allein nahelegen würde.

Wen betrifft es

Direkt betroffen sind Organisationen, die eine LiteLLM-Instanz als KI-Proxy/Gateway in den Versionen 1.74.2 bis vor 1.83.7 betreiben [1]. Der NVD-Eintrag ordnet die CVE zudem allgemein dem Anbieter "Red Hat" zu, ohne ein konkretes Produkt oder einen spezifischen Sicherheitshinweis zu benennen; mangels weiterer Details kann nicht bestätigt werden, dass ein spezifisches Red-Hat-Produkt durch diese Schwachstelle betroffen ist [1]. Der praktische Fokus dieser Warnung bleibt LiteLLM.

Wie Sie feststellen, ob Sie betroffen sind

Prüfen Sie, welche LiteLLM-Version bei Ihnen bereitgestellt ist und ob sie sich im betroffenen Bereich (1.74.2 bis vor 1.83.7) befindet [1]. Überprüfen Sie außerdem, ob das Admin-Panel oder die Endpunkte /mcp-rest/test/connection und /mcp-rest/test/tools/list von außerhalb Ihres internen Netzwerks erreichbar sind, da jede Verringerung dieser exponierten Angriffsfläche das tatsächliche Ausnutzungsrisiko reduziert, auch wenn dies die Aktualisierung nicht ersetzt. Unser Threat-Intelligence-Radar stuft diese Schwachstelle in der Praxis als kritisch ein — höher als die Einstufung "hoch" von NVD — gerade weil sie eine niedrige Einstiegshürde (ein niedrig privilegierter Schlüssel genügt) mit Befehlsausführung auf dem Host und bereits bestätigter Ausnutzung kombiniert.

Wie Sie sich schützen

• Aktualisieren Sie LiteLLM so schnell wie möglich auf Version 1.83.7 oder höher [1].
• Rotieren Sie nach der Aktualisierung alle API-Schlüssel des Proxys, insbesondere die von internen Benutzern mit niedrigen Rechten.
• Überprüfen Sie die Host-Protokolle auf ungewöhnlich ausgeführte Subprozesse oder Befehle durch den LiteLLM-Prozess in den letzten Wochen.
• Beschränken Sie den Netzwerkzugriff auf die Admin-/Test-Endpunkte von LiteLLM auf vertrauenswürdige interne Netzwerke.
• Wenden Sie das Prinzip der minimalen Rechtevergabe bei API-Schlüsseln an: Nicht jeder Benutzer muss in der Lage sein, MCP-Server-Konfigurationen zu erstellen oder zu testen.

Häufig gestellte Fragen

Ist diese Schwachstelle kritisch, obwohl NVD sie als "hoch" einstuft?

NVD bewertet sie mit 8.7 (hoch) [1], aber sie ist im CISA-KEV-Katalog für aktive Ausnutzung gelistet [2], und unser Radar bewertet sie aufgrund der einfachen Ausnutzbarkeit mit minimalen Rechten als kritisch.

Betrifft es Red Hat?

NVD führt "Red Hat" als mit dieser CVE verbundenen Anbieter auf, jedoch ohne ein konkretes Produkt oder einen spezifischen Hinweis zu nennen [1]; anhand der verfügbaren Informationen kann eine spezifische Betroffenheit von Red-Hat-Produkten nicht bestätigt werden.

Reicht es aus, den Netzwerkzugriff auf den Proxy einzuschränken?

Das verringert das Risiko, ersetzt aber nicht das Einspielen des Patches: Die Schwachstelle wird mit einem gültigen API-Schlüssel ausgenutzt, nicht nur von außerhalb des Netzwerks [1].

Wie erkenne ich, ob dies bereits bei mir ausgenutzt wurde?

Überprüfen Sie die Protokolle des Hosts, auf dem LiteLLM läuft, auf unerwartete Kindprozesse, die vom Dienst gestartet wurden, und gleichen Sie die installierte Version mit dem betroffenen Bereich ab [1].

Quellen

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-42271
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json