LiteLLM GHSA-g5ff-637f-6q2m : un compte viewer peut lire des fichiers sur le proxy, passez à la 1.95.0

Notre verdict sur LiteLLM reste « Conditionnel ». C'est toujours la meilleure option gratuite par défaut pour une API au format OpenAI devant de nombreux fournisseurs, mais cet avis montre que la condition est réelle : un compte de niveau viewer sur un proxy non corrigé peut lire les fichiers qui contiennent vos clés. Passez à la 1.95.0 ou ultérieure dès maintenant.

Ce qui s'est passé

L'avis de sécurité GitHub de LiteLLM GHSA-g5ff-637f-6q2m, publié le 1ᵉʳ octobre 2026, classe la faille en sévérité High avec un score CVSS de 8,1. Aucun CVE n'a été attribué. Nous avons relu la page de l'avis le 27 octobre 2026.

• Qui peut l'exploiter : un utilisateur authentifié ne détenant que le rôle internal_user_viewer.
• Où : l'endpoint /utils/transform_request.
• Cause racine : la liste de blocage du corps de requête rejetait vertex_credentials mais manquait son alias, vertex_ai_credentials, ce qui laissait la valeur atteindre le chargeur d'identifiants Vertex AI.
• Impact : l'attaquant peut lire tout fichier lisible par le processus LiteLLM. Les fichiers d'environnement peuvent exposer LITELLM_MASTER_KEY et les clés API des fournisseurs, ce qui peut mener au contrôle complet du proxy en admin.
• Affectées : les versions antérieures à 1.95.0. Corrigée : 1.95.0.
• Contournement : aucun. L'avis indique qu'il n'existe aucun contournement fiable par configuration sur les versions affectées, et qu'aucun changement de configuration n'est nécessaire une fois la mise à niveau faite.

Pourquoi c'est important

C'est le deuxième avis LiteLLM en deux jours. Le 30 septembre 2026, GHSA-7hp6-4w63-5g45 (Critical, CVSS 9,9) décrivait une élévation de privilèges vers admin du proxy par un internal_user authentifié, causée par la réutilisation d'une même clé pour sceller les secrets et pour les jetons de session.

Les deux ne demandent qu'un compte authentifié à faibles privilèges. Votre exposition dépend donc de deux chiffres : combien de personnes détiennent des clés sur votre proxy, et combien de temps vous faites tourner un ancien build. Une passerelle placée devant toutes les clés fournisseurs est le pire endroit pour un bug de lecture généralisée.

Ce qui change pour vous

• Passez à la 1.95.0 ou ultérieure. Cela ferme cette lecture de fichiers.
• Vérifiez aussi l'autre avis. La 1.95.0 seule ne couvre pas GHSA-7hp6-4w63-5g45, qui affecte de la 1.91.0 à la 1.100.4 (plus plusieurs lignes de versions ultérieures). Ses builds corrigés sont 1.100.4, 1.101.3, 1.102.2, 1.103.1 et 1.104.0rc2.
• Renouvelez les secrets si un compte internal_user_viewer était partagé ou non fiable sur un build affecté : la clé maîtresse et chaque clé fournisseur que le processus pouvait lire.
• Auditez les comptes internes. Supprimez les utilisateurs viewer et internes qui n'ont pas besoin d'accès.
• Épinglez les versions et corrigez en quelques jours. C'est la discipline que notre verdict « Conditionnel » présuppose.

Nous n'avons pas déployé LiteLLM nous-mêmes : ceci est une lecture des avis, pas une reproduction.