LiteLLM GHSA-g5ff-637f-6q2m: uma conta de visualização consegue ler ficheiros do proxy; atualize para a 1.95.0

O nosso veredito sobre o LiteLLM mantém-se condicional. Continua a ser a opção gratuita mais forte para uma única API em formato OpenAI sobre muitos fornecedores, mas este aviso mostra que a condição é real: uma conta de nível de visualização num proxy não corrigido consegue ler os ficheiros que guardam as suas chaves. Atualize já para a 1.95.0 ou posterior.

O que aconteceu

O aviso de segurança do LiteLLM no GitHub, GHSA-g5ff-637f-6q2m, publicado a 1 de outubro de 2026, classifica a falha como Alta, com uma pontuação CVSS de 8,1. Não foi atribuído nenhum CVE. Relémos a página do aviso a 27 de outubro de 2026.

• Quem a pode explorar: um utilizador autenticado apenas com o papel internal_user_viewer.
• Onde: o endpoint /utils/transform_request.
• Causa raiz: a lista de bloqueio do corpo do pedido rejeitava vertex_credentials, mas falhava o seu alias, vertex_ai_credentials, o que permitia que o valor chegasse ao carregador de credenciais do Vertex AI.
• Impacto: o atacante consegue ler qualquer ficheiro legível pelo processo LiteLLM. Ficheiros de ambiente podem expor LITELLM_MASTER_KEY e as chaves de API dos fornecedores, o que pode escalar para controlo total de administração do proxy.
• Afetadas: versões anteriores à 1.95.0. Corrigida: 1.95.0.
• Solução de contorno: nenhuma. O aviso afirma que não existe solução de contorno fiável por configuração nas versões afetadas, e que não é necessária qualquer alteração de configuração depois de atualizar.

Porque é importante

Este é o segundo aviso do LiteLLM em dois dias. A 30 de setembro de 2026, o GHSA-7hp6-4w63-5g45 (Crítica, CVSS 9,9) descreveu uma escalada de privilégios para administrador do proxy por um internal_user autenticado, causada pela reutilização de uma mesma chave para selar segredos e para tokens de sessão.

Ambos precisam apenas de uma conta autenticada de baixos privilégios. A sua exposição escala, portanto, com dois números: quantas pessoas têm chaves no seu proxy e há quanto tempo corre uma build antiga. Um gateway à frente de todas as chaves de fornecedores é o pior sítio para ter um bug de leitura de tudo.

O que muda para si

• Atualize para a 1.95.0 ou posterior. Isso fecha esta leitura de ficheiros.
• Verifique também o outro aviso. A 1.95.0, por si só, não cobre o GHSA-7hp6-4w63-5g45, que afeta da 1.91.0 até à 1.100.4 (mais várias linhas de lançamento posteriores). As suas builds corrigidas são a 1.100.4, 1.101.3, 1.102.2, 1.103.1 e 1.104.0rc2.
• Rode os segredos se alguma conta internal_user_viewer foi partilhada ou não era de confiança numa build afetada: a master key e todas as chaves de fornecedores que o processo conseguisse ler.
• Audite as contas internas. Remova os utilizadores de visualização e internos que não precisam de acesso.
• Fixe versões e aplique as correções em poucos dias. É essa a disciplina que o nosso veredito condicional pressupõe.

Não implementámos o LiteLLM nós próprios, pelo que isto é uma leitura dos avisos, não uma reprodução.