LiteLLM: Contournement de l'authentification via collision de clé de cache userinfo OIDC

Cette vulnérabilité permet à un attaquant non authentifié d'accéder aux ressources et aux données auxquelles l'utilisateur usurpé a accès. L'attaquant peut potentiellement exécuter des actions en son nom, compromettant ainsi la confidentialité, l'intégrité et la disponibilité du système. La clé de cache utilisée (token[:20]) est susceptible de collisions pour les tokens générés avec le même algorithme de signature, facilitant l'usurpation d'identité. Le risque est significatif pour les environnements où l'authentification JWT/OIDC est activée, car elle permet un accès non autorisé sans nécessiter de mots de passe ou d'autres informations d'identification.

Organizations using litellm with JWT/OIDC authentication enabled, particularly those with custom JWT generation logic or relying on the library for critical access control. Shared hosting environments where multiple users share the same litellm instance and JWT authentication is enabled are also at increased risk.

• python / supply-chain:

import jwt
# Check for JWT authentication enabled
with open('/path/to/litellm_config.py', 'r') as f:
    for line in f:
        if 'enable_jwt_auth' in line and 'True' in line:
            print('JWT authentication is enabled. Investigate further.')

• generic web:

curl -I https://your-litellm-endpoint/ | grep 'Authorization: Bearer'

• generic web:

# Check access logs for unusual authentication attempts
grep 'Authorization: Bearer' /var/log/nginx/access.log

1. 2026-04-03Disclosure

   disclosure

1. Réservé2026-03-31
2. Publiée2026-04-03
3. Modifiée2026-04-08
4. EPSS mis à jour2026-04-14

La mitigation principale consiste à mettre à jour litellm vers la version 1.83.0 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, désactivez temporairement l'authentification JWT/OIDC. En alternative, examinez attentivement la configuration de votre cache OIDC JWT pour vous assurer que les clés de cache sont suffisamment uniques et résistantes aux collisions. Surveillez les logs pour détecter des tentatives d'accès suspectes ou des tokens JWT inhabituels. Après la mise à jour, vérifiez que l'authentification JWT fonctionne correctement et que les clés de cache sont générées de manière sécurisée.