Kerngegevens
Simpel uitgelegd
Wat is er aan de hand?
In LiteLLM, een proxyserver (AI Gateway) om LLM-API's aan te roepen, zit een fout in de controle op toegang tot het MCP-endpoint. Een aanvaller zonder account kan een verzonnen Authorization-header meesturen. Daardoor komen verzoeken bij de MCP-tooling terecht zonder dat er een geldige LiteLLM-sleutel is gebruikt. Het lek staat sinds september 2026 op de KEV-lijst van actief misbruikte lekken.
Wie loopt risico?
Je loopt risico als je een LiteLLM-versie ouder dan 1.84.0 gebruikt en het MCP Streamable HTTP-endpoint via het netwerk bereikbaar is. De aanval vraagt geen inloggegevens en geen handeling van een gebruiker. Hoe groot de schade is, hangt af van de MCP-tooling die achter jouw LiteLLM-installatie is gekoppeld.
Wat moet je doen?
Controleer je versie
Ga na of je LiteLLM gebruikt en welke versie er draait. Versies lager dan 1.84.0 zijn getroffen.
Werk bij naar 1.84.0
Installeer LiteLLM 1.84.0 of nieuwer. In die versie heeft de leverancier dit lek opgelost.
Beperk de bereikbaarheid
Zorg dat het MCP-endpoint niet onnodig vanaf internet bereikbaar is, bijvoorbeeld met een firewall of netwerkfilter, zolang je nog niet hebt bijgewerkt.
Controleer op misbruik
Kijk in de logs van je LiteLLM-server of er verzoeken naar het MCP-endpoint zijn geweest van onbekende bronnen of zonder geldige sleutel. Volg daarbij het advies van de leverancier.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Voor versie 1.84.0 accepteerde het MCP Streamable HTTP-endpoint van LiteLLM een vervalste Authorization-header om een OAuth2-passthrough-terugvalroute te activeren. Als de validatie van de LiteLLM-sleutel mislukte, werd in die route het resultaat vervangen door een leeg UserAPIKeyAuth()-object. Zo kwamen verzoeken zonder geldige sleutel toch bij de MCP-tooling terecht. Het gaat om onjuiste authenticatie (CWE-287). De CVSS-vector (3.1) laat een aanval via het netwerk zien zonder vereiste rechten of gebruikersinteractie, met grote impact op vertrouwelijkheid en beperkte impact op integriteit.
CVSS-vector (versie 3.1, basisscore 8,2, bron: NVD)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N- Zwakheid (CWE)
- CWE-287 · Onjuiste authenticatie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,8%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 2 september 2026
- Deadline van CISA
- 16 september 2026
- Gebruikt door ransomwaregroepen
- Niet bekend