LiteLLM

Betroffen ist LiteLLM von BerriAI, ein Proxy-Server bzw. AI-Gateway, das Anfragen an verschiedene KI-Sprachmodelle in einem einheitlichen Format weiterleitet. Zwei Schnittstellen, mit denen sich die Konfiguration eines MCP-Servers vor dem Speichern testen lässt, nahmen die komplette Serverkonfiguration direkt aus der Anfrage an – einschließlich der Angaben zu auszuführendem Programm, Startparametern und Umgebungsvariablen für die sogenannte stdio-Anbindung. Beim Verbindungsversuch startete der Proxy das übergebene Kommando als eigenen Prozess auf dem Host, und zwar mit den Rechten des Proxy-Dienstes. Geschützt waren diese Schnittstellen lediglich durch einen gültigen API-Schlüssel; eine Prüfung der Benutzerrolle fehlte vollständig. Dadurch konnte jeder angemeldete Nutzer beliebige Befehle auf dem Serversystem ausführen – auch Inhaber von Schlüsseln mit sehr geringen Berechtigungen. Praktisch bedeutet das die Übernahme des Systems, auf dem das Gateway läuft, samt der dort hinterlegten Zugangsdaten. Der Hersteller hat den Fehler in einer neueren Fassung behoben.