开源网关 LiteLLM 曝高危漏洞：接口缺鉴权可致 RCE 与密钥外泄
反诈老周 · 2026-10-19T09:25:02
开源大模型统一路由网关 LiteLLM 曝出 CVE-2026-35029 和 CVE-2026-59823 两个高危漏洞。根据安全机构 Check Point Research 的评估，问题主要出在系统的 /config/update 接口缺少权限验证，低权限用户就能直接修改运行时配置，进而远程加载恶意 Python 模块触发 Root 级的远程代码执行（RCE），或者通过 SSRF 把绑定的 OpenAI、Anthropic 等上游 API 密钥泄露出去。 Wiz 等机构的追踪数据显示，全网扫描里约有 9.6% 暴露在公网的实例受到影响，且已有漏洞在野外被利用。该问题存在于 v1.77.7 等旧版本中，官方已在 1.83.9 版本中完成修复，有自建网关的需要尽快排查升级。