LiteLLM Proxy en resumen
El 27 de octubre de 2026, BerriAI reveló que un usuario del proxy LiteLLM con el rol básico internal_user podía falsificar una sesión de administrador y ejecutar comandos vía el endpoint MCP stdio. Otro aviso cubre una lectura de archivos que puede filtrar la master key. Las correcciones salieron el 30 de septiembre.
LiteLLM Proxy: estado
- Afectado
- Proxy LiteLLM desde 1.91.0 hasta las versiones corregidas 1.100.4, 1.101.3, 1.102.2, 1.103.1 y 1.104.0rc2 (escalada de privilegios a proxy_admin, CVE-2026-114612); de 1.87.0 a 1.90.x solo con EXPERIMENTAL_UI_LOGIN=true
- Proxy LiteLLM antes de 1.95.0 (lectura arbitraria de archivos locales mediante vertex_ai_credentials, GHSA-g5ff-637f-6q2m)
- Identificadores CVE
- Estado al
- Detectada por
- Hoa X. Nguyen, OPSWAT Unit 515 (CVE-2026-114612); el usuario de GitHub rekter0 (lectura de archivos)
Qué cambió con LiteLLM Proxy
El 27 de octubre de 2026, BerriAI publicó dos avisos de seguridad en GitHub para el proxy LiteLLM, el gateway de código abierto que muchos equipos colocan delante de las API de OpenAI, Anthropic, Google y otros proveedores de modelos. El principal, CVE-2026-114612, tiene 9.9 en CVSS 3.1 y 7.7 en CVSS 4.0, y GitHub lo clasifica como de severidad alta. El hallazgo se atribuye a Hoa X. Nguyen, de OPSWAT Unit 515.
El proxy usaba una misma clave de cifrado para proteger los secretos guardados y para emitir tokens de sesión. Un usuario con el rol común internal_user podía crear una API key cuyos metadatos incluían una credencial de administrador falsificada, recibir el valor cifrado y luego presentarlo como token bearer. El proxy lo descifraba y trataba a quien llamaba como proxy_admin, lo que incluye ejecutar comandos arbitrarios mediante el endpoint MCP stdio. BerriAI indica que las versiones desde 1.91.0 son explotables con la configuración predeterminada, y de 1.87.0 a 1.90.x solo cuando se define EXPERIMENTAL_UI_LOGIN=true. Las versiones corregidas son 1.100.4, 1.101.3, 1.102.2, 1.103.1 y 1.104.0rc2, todas publicadas el 30 de septiembre.
El segundo aviso todavía no tiene CVE: un usuario con solo el rol internal_user_viewer, que muchas instalaciones otorgan mediante SSO, podía hacer que el proxy leyera cualquier archivo local enviando un valor vertex_ai_credentials manipulado a /utils/transform_request. BerriAI advierte que leer el entorno del proceso puede exponer LITELLM_MASTER_KEY y las API keys de los proveedores. Se corrige en 1.95.0 y no existe una solución confiable por configuración. Al 5 de noviembre de 2026, ninguna de las dos fallas está en la lista de vulnerabilidades explotadas de CISA.
Cómo corregirlo: LiteLLM Proxy
1. Actualizar
Actualiza el proxy LiteLLM a 1.100.4, 1.101.3, 1.102.2, 1.103.1 o una versión posterior, y vuelve a desplegar cada instancia del proxy e imagen de contenedor.
github.com (se abre en una pestaña nueva)2. Solución temporal
Si no puedes actualizar de inmediato, define EXPERIMENTAL_UI_LOGIN=false. BerriAI advierte que esto también desactiva el SSO por CLI y el inicio de sesión de Claude Code a través del gateway. No corrige la lectura de archivos, que requiere 1.95.0 o posterior.
github.com (se abre en una pestaña nueva)3. Vigilar
Revisa quién tiene los roles internal_user e internal_user_viewer, busca actividad de administrador o claves nuevas inesperadas, y rota LITELLM_MASTER_KEY y las API keys de proveedores si usuarios no confiables pudieron acceder a una versión afectada.
github.com (se abre en una pestaña nueva)
Instrucción para tu agente de IA
Busca litellm o la imagen del proxy LiteLLM en archivos de requisitos, lockfiles, Dockerfiles y manifiestos de despliegue. Si la versión es anterior a 1.95.0, o es 1.91.0 o posterior pero más antigua que 1.100.4, 1.101.3, 1.102.2 o 1.103.1 en su línea, propone actualizar a una versión corregida. No rotes claves ni cambies roles por tu cuenta; indica al usuario qué claves y roles revisar.
Basada en la guía oficial enlazada abajo. Revísala antes de dársela a un agente que pueda modificar tus sistemas.
Avisos de seguridad
Dónde comparar LiteLLM Proxy
Clasificaciones independientes y recursos oficiales para comparar este modelo por tu cuenta. Las posiciones cambian con frecuencia; cada sitio muestra sus datos actuales.
Por qué LiteLLM Proxy importa para los negocios
Un gateway de modelos guarda todas las claves de proveedores que pagas, así que una falla de privilegios ahí es a la vez un riesgo de facturación y de datos. Si operas un proxy LiteLLM para tu equipo o tus clientes, actualiza a una de las versiones corregidas, revisa qué cuentas tienen los roles internal_user o internal_user_viewer y rota la master key y las claves de proveedores si usuarios no confiables tuvieron acceso a una versión afectada.
Fuentes de esta noticia
- LiteLLM: Privilege Escalation to Proxy Admin via Cross-Domain Reuse of the Salt Key (se abre en una pestaña nueva)Oficial
BerriAI on GitHub · github.com
- LiteLLM: internal_user_viewer arbitrary local file read via vertex_ai_credentials (se abre en una pestaña nueva)Oficial
BerriAI on GitHub · github.com
- LiteLLM v1.100.4 release (se abre en una pestaña nueva)Oficial
BerriAI on GitHub · github.com
- CVE-2026-114612 (se abre en una pestaña nueva)Oficial
NIST National Vulnerability Database · nvd.nist.gov
Última verificación: . IA Compa resume anuncios públicos para lectores de negocios. No tenemos relación con las empresas mencionadas. Confirma siempre los detalles, precios y disponibilidad con la fuente oficial.
- #security
- #cve
- #litellm
- #ai-gateway
- #privilege-escalation
- #mcp