CVE詳細 - CVE-2026-59822-

CVE-2026-59822 の詳細

CVEの情報

説明:
LiteLLM is a proxy server (AI Gateway) to call LLM APIs in OpenAI (or native) format. Prior to 1.84.0, LiteLLM's MCP Streamable HTTP endpoint allowed an unauthenticated attacker to use a fabricated Authorization header to trigger an OAuth2 passthrough fallback path that replaced failed LiteLLM key validation with an empty UserAPIKeyAuth() object, allowing requests to reach MCP tooling without a valid LiteLLM key. This issue is fixed in version 1.84.0.

CVE更新日: 2026-07-08 20:16:57.683000

CVSSバージョン: 4.0

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2026-09-02

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.008360000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: low

Automatable: True

AIを使った解説

解説:

CVE-2026-59822は、AIゲートウェイであるLiteLLMにおける認証バイパスの脆弱性です。CISA（米国サイバーセキュリティ・インフラセキュリティ庁）によって悪用が確認され、Known Exploited Vulnerabilities（KEV）カタログに追加されています。

1. 脆弱性の概要

1.1 影響 LiteLLMのModel Context Protocol（MCP）Streamable HTTPエンドポイントにおいて、認証されていない攻撃者が偽のBearerトークンを使用することで、認証されたMCPセッションを確立できる可能性があります。これにより、攻撃者は有効なLiteLLMキーなしでMCPツールを列挙および呼び出し、MCPを介して公開されている接続済みサービスにアクセスできます。結果として、バックエンドのLLM APIや接続されたツールが、正当な認証情報なしに露呈する可能性があります。攻撃者は、プロキシのマスターキーをメモリから復元する試みも行っています。

1.2 深刻度 この脆弱性は高 severity と評価されています。 CVSS 3.1のベーススコアは8.2（High）、CVSS 4.0のベーススコアは8.8（High）です。 CWE-287 (Improper Authentication) および CWE-306 (Missing Authentication for Critical Function) に分類されます。

2. 対象となる環境

2.1 影響を受けるOSバージョン 直接的にOSバージョンに影響するものではなく、LiteLLMのバージョンに依存します。LiteLLMのバージョン1.84.0より前のすべてのバージョンが影響を受けます。

Red Hat製品のうち、LiteLLMをPythonの依存関係として含むもの（例：Red Hat OpenShift AI、Red Hat Ansible Automation Platform Lightspeed chatbot images、Red Hat Exploit Intelligence）は、LiteLLMプロキシサーバーを起動したり、そのMCP HTTP認証パスを公開したりするデフォルト設定では影響を受けません。脆弱な実行パスは、LiteLLMプロキシがMCPルートを有効にして明示的にデプロイされている場合にのみ到達可能です。

2.2 影響を受ける設定 LiteLLMのMCP Streamable HTTPエンドポイントが公開されている環境で影響を受けます。特に、OAuth2パススルー構成を使用しているデプロイが該当します。

3. 影響を受けた時の兆候

発行されたLiteLLMキーに対応しないAuthorizationヘッダーを含むMCP Streamable HTTPエンドポイントへのリクエストが検出される。
LiteLLMの監査ログで、解決可能なユーザーまたはキー識別子がないMCPツール呼び出し。
インターネットに公開されたLiteLLM AIゲートウェイの一部で、広く知られているデフォルトのマスターキー「sk-1234」が受け入れられたり、認証が不要な状態になっていることがスキャンで確認されています。

4. 推奨対策

4.1 本対策 LiteLLMをバージョン1.84.0以降にアップグレードすることが推奨されます。このバージョンで脆弱性が修正されています。

4.2 暫定回避策（緩和策） すぐに更新できない場合は、以下の緩和策が有効です。

/mcp/ へのアクセスを遮断する、またはMCPのルートを無効化する。これは開発元が公式に示している回避策です。
リバースプロキシやAPIゲートウェイを使用して、/mcp/ および関連するMCPエンドポイントへのアクセスを遮断します。

参照したサイト

CVE-2026-59822: LiteLLM's MCP Auth Bypass, and the Second Bug in the Same Fix
CVE-2026-59822: LiteLLM MCP Authentication Bypass Under Active Exploitation
CVE-2026-59822: The One-Character Password That Opens Your AI Gateway - XHack
LiteLLM: MCP Authentication Bypass via OAuth2 Passthrough Fallback · CVE-2026-59822
CVE-2026-59822 - Red Hat Customer Portal
CVE-2026-59822: LiteLLM Auth Bypass Vulnerability - SentinelOne
CVE-2026-59822 – Authentication Bypass – LiteLLM prior to v1.84.0 - IONIX
NVD-CVE-2026-59822 - NIST
【緊急】LiteLLM CVE-2026-59822：1.84.0へ今すぐ更新 — 悪用確認済みのMCP認証バイパス
CVE-2026-59822 - IoT OT Security News
IoT OT Security News
Hackers Target AI Infrastructure With RCE, Prompt Injection and API Key Theft

その他解説すべき観点

CISA KEVへの登録: 本脆弱性はCISAのKnown Exploited Vulnerabilities (KEV) カタログに2026年9月2日に追加されており、実際に悪用されている証拠があることを示しています。連邦政府機関には2026年9月16日までに修正が求められました。 KEVカタログへの登録は、高いCVSSスコアだけでなく、実際の悪用証拠に基づいています。
AIゲートウェイのセキュリティ: LiteLLMはAIゲートウェイとして、アプリケーションと大規模言語モデルプロバイダー、そしてMCP接続ツールや内部サービスの間で利用されることが多いため、この種の脆弱性はAIインフラ全体のセキュリティに重大な影響を及ぼす可能性があります。 AIプロキシはAPIキーやクラウドの権限を集約する可能性があるため、脆弱なデプロイはデータ、有料モデルの使用、およびより深いシステムへの橋渡しとなる可能性があります。
連携する可能性のある他の脆弱性: CVE-2026-59822はLiteLLMの認証バイパスですが、他のLiteLLMの脆弱性（例：CVE-2026-42271）やStarletteの脆弱性（例：CVE-2026-48710）と組み合わせて、未認証でのリモートコード実行（RCE）に繋がる可能性も示唆されています。

NVDサイト

NVDでCVEの詳細を見る

戻る