CISA、LiteLLMのMCP認証バイパスを既知の悪用済み脆弱性に追加――無効なキーが有効なセッションへ降格される不具合

米国のCISAは9月2日、LiteLLMのCVE-2026-59822をKnown Exploited Vulnerabilities（KEV）カタログに追加し、6月に公開されていたこの脆弱性に実質的な更新をもたらした。問題はMCP Streamable HTTPエンドポイントの認証処理に存在する。システムは上流のMCPサーバー向けにOAuth2 passthroughをサポートしているが、LiteLLMのキー検証に失敗した後、特定のフォールバック経路ではリクエストを即座に拒否せず、空の`UserAPIKeyAuth()`オブジェクトを使用して処理を継続していた。攻撃者は任意のBearer tokenを送信するだけで、認証済みセッションとして扱われる可能性がある。

影響は、チャットやモデルのレスポンスを取得できることだけにとどまらない。メンテナーのセキュリティアドバイザリによると、悪用に成功した攻撃者はLiteLLMに設定されたMCPツールを列挙して呼び出すことができ、それらのツールの背後にあるデータベース、クラウドサービス、その他の企業システムにアクセスし得る。この脆弱性はネットワーク経由でリモートから悪用でき、既存の権限やユーザー操作を必要としない。GitHubのアドバイザリではCVSS 4.0スコアが8.8とされており、主なリスクは機密性への重大な影響と、完全性への比較的低い影響である。

影響を受けるのはLiteLLM 1.84.0未満で、修正版は1.84.0以降である。すぐにアップグレードできない場合、メンテナーはMCPルートを無効化するか、reverse proxyおよびAPI gatewayで`/mcp/`と関連エンドポイントをブロックするよう推奨している。CISAが米国連邦文民機関に設定した対応期限は9月16日である。KEVへの収録は悪用の証拠が存在することを意味するが、すべてのデプロイメントが侵害済みであることを意味するわけではない。The Hacker NewsはWizのhoneypot観測を引用し、この脆弱性を狙ったモデル列挙の偵察活動がすでに確認されていると報じた。

運用担当者は、パッケージのバージョン確認だけで済ませるべきではない。まず、どのLiteLLMインスタンスがインターネットまたは信頼されていないネットワークセグメントから到達可能か、どのMCPツールが書き込み権限を持つかを棚卸しし、そのうえで異常なBearer token、ツールの列挙、呼び出しログを調査する必要がある。エンドポイントが外部に公開されていた場合は、MCPツールからアクセス可能な上流のAPI keyもローテーションし、gatewayがすべての認証例外およびpassthrough分岐でfail-closedになることを検証しなければならない。外側のログインページや「内部サービス」というラベルだけでは、実際の攻撃対象領域を適切に判断できない。