觀點 · 資訊分享

LiteLLM 的 MCP 測試端點被列入 CISA 已遭利用清單：低權限帳號也能在主機上執行指令

CISA 在 6 月 8 日把 LiteLLM 的指令注入漏洞 CVE-2026-42271 加入 KEV 清單，處理期限為 6 月 22 日。這個漏洞的 CVE 早在 5 月 8 日就公開，1.83.7 版已修補。

一句話看懂：自架 AI 閘道 LiteLLM 有個指令注入漏洞，只要有任何有效金鑰，就能讓伺服器執行指令；CISA 在 6 月 8 日把它列入已遭利用清單，要求 6 月 22 日前處理。

LiteLLM 漏洞：普通帳號也能下指令資訊圖卡：MCP 預覽端點沒檢查角色，任何登入用戶都能在主機上執行指令

先用白話講：這個漏洞是什麼？

想像公司有一間設備室，只有管理員能進去按按鈕。但有個「試用面板」開放給所有員工證，只要刷得進大樓，就能在面板上輸入「請執行這個程式」，設備室就真的照做了，而且是用管理員的權限在做。

LiteLLM 是一個 AI 代理伺服器，讓你的程式用統一的格式呼叫各家 AI 模型。它支援 MCP（讓 AI 連接外部工具的協定），所以提供了「預覽 MCP 伺服器」的功能，而這個預覽功能就是問題所在。

漏洞編號：CVE-2026-42271，NVD 在 5 月 8 日就已公開
6 月 8 日的新消息：CISA 把它列入已知遭利用漏洞（KEV）清單，處理期限為 6 月 22 日；CISA 對它的名稱是「BerriAI LiteLLM 指令注入漏洞」
問題所在：用來預覽 MCP 伺服器的兩個端點（POST /mcp-rest/test/connection 與 POST /mcp-rest/test/tools/list），接受完整的伺服器設定，包含 stdio 傳輸用的 command、args、env
後果：端點嘗試連線時，會在代理主機上以代理程式的權限啟動指定的指令
守門不足：只要有效的代理金鑰就能呼叫，沒有角色檢查，連低權限的內部用戶金鑰都行
嚴重度：NVD 資料顯示 CVSS 4.0 為 8.7（高），來源是 GitHub 安全公告

CISA 的 KEV 清單代表已有遭利用的證據；官方這則資料沒有說明是被誰、如何利用，也沒有說是否與勒索攻擊有關（CISA 欄位為「不明」）。

自架服務的人很常用 LiteLLM 這類 AI 閘道，放在 NAS 或小主機上統一管理幾個服務的 AI 呼叫。這種「集中管理金鑰」的架構很方便，但也代表一旦它被突破，後果是整台主機，而不只是某一個金鑰。

這次的教訓我覺得有兩個：第一，AI 工具愈來愈常加入「幫你執行東西」的功能（像 MCP 的 stdio），每個這類功能都等於開了一個執行指令的後門，權限控管一定要嚴；第二，漏洞早在 5 月就公開，到 6 月才被列入遭利用清單，中間差了一個月，自架服務的人要養成定期升版的習慣，不要裝好就放著。

LiteLLM 是什麼？

一個代理伺服器（AI Gateway），讓程式用 OpenAI 的格式去呼叫各家的 AI 模型。很多團隊自架它來統一管理金鑰與用量。

為什麼低權限帳號也能利用？

官方描述：那兩個預覽端點只檢查有沒有有效的代理金鑰，沒有檢查角色，所以內部用戶等低權限金鑰的持有者也能呼叫，進而讓主機啟動他指定的指令。

我該怎麼處理？

把 LiteLLM 升級到 1.83.7 或更新版本。升級前，限制哪些人與網路能連到代理伺服器，並回頭檢查是否發放了不必要的金鑰。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。