LiteLLM GHSA-g5ff-637f-6q2m: Ein Viewer-Konto kann Dateien vom Proxy lesen, Upgrade auf 1.95.0

Unser Urteil: LiteLLM bleibt Bedingt. Es ist immer noch die stärkste kostenlose Standardwahl für eine API im OpenAI-Format über viele Provider hinweg, aber dieser Hinweis zeigt, dass der Vorbehalt real ist: Ein Konto auf Viewer-Ebene auf einem ungepatchten Proxy kann die Dateien lesen, die Ihre Schlüssel enthalten. Führen Sie jetzt das Upgrade auf 1.95.0 oder höher durch.

Was passiert ist

LiteLLMs GitHub-Sicherheitshinweis GHSA-g5ff-637f-6q2m, veröffentlicht am 1. Oktober 2026, stuft die Schwachstelle als Hoch mit einem CVSS-Score von 8,1 ein. Es wurde kein CVE vergeben. Wir haben die Hinweisseite am 27. Oktober 2026 erneut gelesen.

• Wer sie ausnutzen kann: ein authentifizierter Nutzer, der nur die Rolle internal_user_viewer innehat.
• Wo: der Endpunkt /utils/transform_request.
• Ursache: Die Blocklist im Request-Body wies vertex_credentials zurück, übersah aber dessen Alias vertex_ai_credentials, wodurch der Wert den Credential-Loader von Vertex AI erreichen konnte.
• Auswirkung: Der Angreifer kann jede Datei lesen, die der LiteLLM-Prozess lesen kann. Umgebungsdateien können LITELLM_MASTER_KEY und Provider-API-Schlüssel offenlegen, was bis zur vollen Admin-Kontrolle über den Proxy eskalieren kann.
• Betroffen: Versionen vor 1.95.0. Gepatcht: 1.95.0.
• Workaround: keiner. Der Hinweis sagt, dass es auf betroffenen Versionen keinen verlässlichen Konfigurations-Workaround gibt und dass nach dem Upgrade keine Konfigurationsänderung nötig ist.

Warum das wichtig ist

Dies ist der zweite LiteLLM-Sicherheitshinweis innerhalb von zwei Tagen. Am 30. September 2026 beschrieb GHSA-7hp6-4w63-5g45 (Kritisch, CVSS 9,9) eine Rechteausweitung zum Proxy-Admin durch einen authentifizierten internal_user, verursacht durch die Wiederverwendung eines Schlüssels sowohl zum Versiegeln von Secrets als auch für Session-Tokens.

Beide benötigen nur ein authentifiziertes Konto mit niedrigen Rechten. Ihr Risiko skaliert daher mit zwei Zahlen: wie viele Personen Schlüssel auf Ihrem Proxy halten und wie lange Sie einen alten Build betreiben. Ein Gateway, das vor jedem Provider-Schlüssel sitzt, ist der schlechteste Ort für einen Alles-lesen-Bug.

Was sich für Sie ändert

• Führen Sie das Upgrade auf 1.95.0 oder höher durch. Das schließt dieses Dateiauslesen.
• Prüfen Sie auch den anderen Hinweis. 1.95.0 allein deckt GHSA-7hp6-4w63-5g45 nicht ab, der 1.91.0 bis 1.100.4 (plus mehrere spätere Release-Linien) betrifft. Die gepatchten Builds sind 1.100.4, 1.101.3, 1.102.2, 1.103.1 und 1.104.0rc2.
• Rotieren Sie Secrets, falls ein internal_user_viewer-Konto auf einem betroffenen Build geteilt oder nicht vertrauenswürdig war: den Master-Key und jeden Provider-Schlüssel, den der Prozess lesen konnte.
• Prüfen Sie interne Konten. Entfernen Sie Viewer- und interne Nutzer, die keinen Zugang benötigen.
• Pinnen Sie Versionen und patchen Sie innerhalb von Tagen. Das ist die Disziplin, die unser bedingtes Urteil voraussetzt.

Wir haben LiteLLM nicht selbst im Einsatz, daher ist dies eine Lektüre der Hinweise, keine Reproduktion.