BerriAI LiteLLM 認証キー検証の SQL インジェクション（プロキシDB読み取り・改ざん）

Critical（CVSS 9.8）に分類されるBerriAI LiteLLM (AI Gateway / proxy)の脆弱性です。LLM API を OpenAI 互換形式で中継する AI ゲートウェイ LiteLLM のプロキシで、API キー検証時に実行される DB クエリが、呼び出し側が渡したキー値をパラメータ化せずにクエリ文字列へ直接連結していた。認証前の攻撃者が細工した Authorization ヘッダを任意の LLM API ルート（例: POST /chat/completions）へ送るとエラー処理経路を通じてこのクエリに到達でき、プロキシのデータベースを読み取り、場合により改ざんできる。プロキシが管理する各種プロバイダの認証情報漏えいにつながる。影響は 1.81.16 以上 1.83.7 未満。1.83.7 で修正済み。

自ホストの LiteLLM を 1.83.7 以降へ更新するのが基本方針。即時更新できない場合は、プロキシをインターネットから直接到達不能にする（内部ネットワーク/認証プロキシ配下に隔離）、WAF で異常な Authorization ヘッダを遮断するなどで暴露面を減らす。DBに保管された各プロバイダの API キーは更新後にローテーションを検討する。 【2026-08-01 本文見直し】KEV 是正期限（2026-05-11）から約3か月が経過している。LiteLLM は各社の LLM API キーをプロキシの DB に保管する構成が一般的で、SQL インジェクションが成立していた場合、更新だけでは漏れた鍵が有効なまま残る。更新後に「ローテーションを検討する」ではなく、期限超過の環境では各プロバイダの API キーを実際に失効・再発行する前提で扱う。あわせて、各プロバイダ側の利用ログで、自組織の想定と合わない時間帯・モデル・リージョンからの呼び出しが無いかを確認する。鍵の悪用は課金として先に現れることが多いため、請求額の異常も検知の手掛かりになる。

BerriAI LiteLLM (AI Gateway / proxy) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://github.com/BerriAI/litellm/security/advisories/GHSA-r75f-5x8p-qvmc）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/05/11 です。推奨される対応: ベンダー指示に従い緩和策を適用。緩和策が無ければ製品の使用を停止（CISA KEV）。