情報取得日: 2026/06/08／最終確認: 2026/08/24・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-42271 |
|---|---|
| 製品 | BerriAI / LiteLLM (AI ゲートウェイ/プロキシ) |
| CVSS | 8.8（High） CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-78/CWE-77 OS コマンドインジェクション |
| 登録／公開日 | 2026/06/08 |
| KEV 期限 | 2026/06/22 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダー指示に従い緩和策を適用（BOD 22-01 準拠）。緩和策が無ければ製品の使用を停止。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-42271 |
LLM API を OpenAI 互換形式で呼び出すプロキシ（AI ゲートウェイ）LiteLLM の 1.74.2〜1.83.7 未満に存在。MCP サーバ保存前プレビュー用の POST /mcp-rest/test/connection と POST /mcp-rest/test/tools/list が、stdio トランスポートの command/args/env を含む設定を受け付け、有効な proxy API キーがあればロールチェックなしで任意コマンドをプロキシホスト上でプロキシ権限で実行できた。低権限の internal-user キー保有者でも悪用可能。バージョン 1.83.7 で修正済み。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
ECS/EKS/EC2 上で稼働する LiteLLM コンテナを 1.83.7 以降へ更新
LiteLLM は利用者がデプロイするコンテナ/プロキシで、AWS 固有の修正提供は確認できない。更新までは ALB/API Gateway で /mcp-rest/test/connection と /mcp-rest/test/tools/list を遮断する（GHSA 記載の回避策）。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
GKE/Cloud Run/GCE 上の LiteLLM を 1.83.7 以降へ更新
利用者管理のコンテナで、GCP 固有パッチは確認できない。更新までは Cloud Load Balancing / Cloud Armor で上記2エンドポイントを遮断する。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
AKS/Container Apps/VM 上の LiteLLM を 1.83.7 以降へ更新
利用者管理のコンテナで、Azure 固有パッチは確認できない。更新までは Application Gateway / API Management で上記2エンドポイントを遮断する。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
pip/コンテナで導入した LiteLLM を 1.83.7 以降へ更新
OSS パッケージでディストリの標準パッケージではないため、upstream の 1.83.7-stable 以降を適用する。更新までは前段のリバースプロキシで上記2エンドポイントを遮断する。
参照リンク
|
LiteLLM を 1.83.7 以降へ更新するのが恒久対応で、GitHub Security Advisory GHSA-v4p8-mg3p-g94g が影響範囲を「>= 1.74.2, < 1.83.7」、修正版を「>= 1.83.7」と明示している。すぐに更新できない場合の回避策も同アドバイザリに書かれており、POST /mcp-rest/test/connection と POST /mcp-rest/test/tools/list の2つのエンドポイントをリバースプロキシまたは API ゲートウェイで遮断する、というものである。この2本は MCP サーバを保存する前の接続テスト用で、通常運用では外部から叩く必要がないため、遮断の副作用は小さい。あわせて proxy API キーの発行範囲を絞る。有効なキーさえあればロールチェックなしで通ってしまうため、低権限の internal-user キーでも悪用できる点がこの脆弱性の要点であり、キーの棚卸しは更新後も有効な対策になる。コンテナで動かしている場合は、非 root 実行・読み取り専用ルートファイルシステム・不要なシェルの排除で、コマンド実行が成立したときの被害を狭める。侵害確認では、上記2エンドポイントへの POST がアクセスログに無いか、LiteLLM プロセスから想定外の子プロセスが起動していないかを見る。
High（CVSS 8.8）に分類されるBerriAI LiteLLM (AI ゲートウェイ/プロキシ)の脆弱性です。LLM API を OpenAI 互換形式で呼び出すプロキシ（AI ゲートウェイ）LiteLLM の 1.74.2〜1.83.7 未満に存在。MCP サーバ保存前プレビュー用の POST /mcp-rest/test/connection と POST /mcp-rest/test/tools/list が、stdio トランスポートの command/args/env を含む設定を受け付け、有効な proxy API キーがあればロールチェックなしで任意コマンドをプロキシホスト上でプロキシ権限で実行できた。低権限の internal-user キー保有者でも悪用可能。バージョン 1.83.7 で修正済み。
LiteLLM を 1.83.7 以降へ更新するのが恒久対応で、GitHub Security Advisory GHSA-v4p8-mg3p-g94g が影響範囲を「>= 1.74.2, < 1.83.7」、修正版を「>= 1.83.7」と明示している。すぐに更新できない場合の回避策も同アドバイザリに書かれており、POST /mcp-rest/test/connection と POST /mcp-rest/test/tools/list の2つのエンドポイントをリバースプロキシまたは API ゲートウェイで遮断する、というものである。この2本は MCP サーバを保存する前の接続テスト用で、通常運用では外部から叩く必要がないため、遮断の副作用は小さい。あわせて proxy API キーの発行範囲を絞る。有効なキーさえあればロールチェックなしで通ってしまうため、低権限の internal-user キーでも悪用できる点がこの脆弱性の要点であり、キーの棚卸しは更新後も有効な対策になる。コンテナで動かしている場合は、非 root 実行・読み取り専用ルートファイルシステム・不要なシェルの排除で、コマンド実行が成立したときの被害を狭める。侵害確認では、上記2エンドポイントへの POST がアクセスログに無いか、LiteLLM プロセスから想定外の子プロセスが起動していないかを見る。
BerriAI LiteLLM (AI ゲートウェイ/プロキシ) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-42271）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/06/22 です。推奨される対応: ベンダー指示に従い緩和策を適用（BOD 22-01 準拠）。緩和策が無ければ製品の使用を停止。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/24）。