BerriAI LiteLLM のコマンドインジェクションの脆弱性（CVE-2026-42271）

何が起きた

AI のモデルへの通信を中継するソフト LiteLLM に、コマンドを紛れ込まされる弱点（コマンドインジェクション）が見つかり、実際に悪用が確認されています。MCP サーバー（AI に道具をつなぐ仕組み）を保存前に試す2つの窓口が、実行するコマンドを含む設定をそのまま受け取り、サーバーの上で実行していました。この窓口は、正しい API キーがあれば役割を確かめずに使えたため、権限の低い利用者のキーを持つ人も含め、正しい API キーを持つ人なら誰でも、サーバーで任意のコマンドを実行できるおそれがあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

LiteLLM の 1.74.2 以降、1.83.7 より前を使っている組織が影響を受けます。

何をすればいい

LiteLLM を 1.83.7 以降に更新してください。すぐに更新できない場合、公式は、リバースプロキシなどで /mcp-rest/test/connection と /mcp-rest/test/tools/list の2つの窓口を遮断するよう案内しています。

やることチェックリスト

• LiteLLMを1.83.7以降に更新する
• すぐ更新できなければMCPを試す2つの窓口を遮断する
• 発行しているAPIキーを見直す

用語メモ

LiteLLM

いろいろな AI のモデルを、同じ形で呼び出せるように中継するソフトです。

MCP

AI に、外部の道具やデータをつなぐための仕組みです。

API キー

プログラムから機能を使うときに、本人であることを示すための合言葉のような文字列です。