LiteLLM — Brechas de Seguridad en Pasarelas de IA: Ejecución Remota de Código y Omisión de Control de Acceso (CVE-2026-35029)

Fecha de publicación: 13 de octubre de 2026
Categoría: AI attacks (LLM/LocalAI)

Introducción

Una investigación de seguridad expuso múltiples vulnerabilidades de alto impacto en LiteLLM (v1.77.7), un proxy y pasarela de código abierto ampliamente utilizado para interactuar con Modelos de Lenguaje Grande (LLM). Los fallos identificados, registrados bajo los identificadores CVE-2026-35029 y CVE-2026-59823, permiten a usuarios con privilegios mínimos realizar acciones críticas como modificar la configuración en tiempo de ejecución, leer archivos sensibles del servidor, suplantar cuentas administrativas, ejecutar código remoto arbitrario y exfiltrar claves de proveedores de IA a través de peticiones falsificadas del lado del servidor (SSRF).

¿Qué es LiteLLM y sus Riesgos en Arquitecturas de IA? (Análisis General)

Las pasarelas de LLM actúan como intermediarias entre las aplicaciones cliente y los diversos proveedores de modelos de inteligencia artificial (como OpenAI, Anthropic, entre otros). Su propósito central es unificar la lógica de conexión, gestionar credenciales, aplicar cuotas de uso, balancear cargas y centralizar el registro de auditoría.

Sin embargo, al ocupar una posición privilegiada en la ruta de las peticiones y manejar credenciales altamente sensibles, cualquier fallo en su arquitectura de seguridad compromete toda la infraestructura conectada. En el caso de LiteLLM, las deficiencias detectadas radican en una validación insuficiente de controles de acceso basados en roles (RBAC) y en la falta de saneamiento de parámetros de configuración personalizados.

A continuación se detallan los datos oficiales verificados por la Base Nacional de Vulnerabilidades (NVD):

  • CVE-2026-35029 (Datos oficiales de NVD):
    • Puntuación CVSS v4.0: 8.7 (HIGH) — CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:N/E:X/...
    • Clasificación CWE: CWE-863 (Incorrect Authorization), CWE-425 (Direct Request (‘Forced Browsing’))
    • Estado CISA KEV: No reportado
  • CVE-2026-59823 (Datos oficiales de NVD):
    • Puntuación CVSS v4.0: 5.3 (MEDIUM) — CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N/E:X/...
    • Clasificación CWE: CWE-918 (Server-Side Request Forgery - SSRF)
    • Estado CISA KEV: No reportado

¿Cómo funciona? (Análisis Técnico)

El análisis técnico revela múltiples vectores de explotación que explotan debilidades lógicas y de control de acceso en la interfaz del proxy:

  • Omisión de Autorización en el Endpoint de Configuración (/config/update): El proxy expone una interfaz de actualización de configuración que carece de verificaciones del rol PROXY_ADMIN. Las sesiones iniciadas en la interfaz de usuario generan un token asociado al equipo litellm-dashboard, el cual pasa validaciones de rutas permitidas (startswith("/config")) y permite que cualquier usuario autenticado de bajo nivel ejecute peticiones de modificación.
  • Lectura Arbitraria de Archivos (CVE-2026-35029): Mediante la inyección de la variable de entorno UI_LOGO_PATH a través del endpoint vulnerable, un atacante puede alterar la ruta del recurso servido por /get_image. Al apuntar a archivos críticos del sistema (como /etc/passwd), el servidor devuelve su contenido sin validación previa.
  • Toma de Control de Cuentas Administrativas: La modificación de las variables de entorno UI_USERNAME y UI_PASSWORD permite sobrescribir las credenciales de acceso predeterminadas del panel de administración, facilitando una sesión con privilegios totales de administrador.
  • Ejecución Remota de Código (RCE): La definición de puntos de transferencia (pass-through endpoints) permite especificar destinos de almacenamiento en la nube (s3:// o gcs://). LiteLLM descarga y procesa módulos de Python mediante importlib.util.spec_from_file_location, lo que posibilita la carga de código arbitrario controlado por el atacante.
  • SSRF y Extracción de Claves de Proveedores (CVE-2026-59823): El parámetro user_config dentro del cuerpo de la petición en /chat/completions elude los mecanismos de seguridad que bloquean la modificación directa de api_base. Esto permite redirigir llamadas de red hacia servidores controlados por atacantes y exfiltrar claves de API primarias.

Sistemas / Entornos Afectados

Las fallas impactan directamente a las implementaciones del servidor proxy de LiteLLM en versiones anteriores a las correcciones oficiales:

  • LiteLLM Proxy Server: Versiones anteriores a v1.83.0 (afectadas por CVE-2026-35029).
  • LiteLLM Proxy Server: Versiones anteriores a v1.83.9 (afectadas por CVE-2026-59823).
  • Entornos: Despliegues autoalojados en contenedores Docker, entornos Kubernetes e integraciones de IA corporativas que utilicen la pasarela como intermediario de llamadas a modelos de lenguaje.
CVE Categoría (CWE) Impacto CVSS Vector (resumido)
CVE-2026-35029 CWE-863, CWE-425 RCE, Lectura de Archivos, Takeover 8.7 (High) AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H
CVE-2026-59823 CWE-918 (SSRF) Exfiltración de claves de API 5.3 (Medium) AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N

Mitigación y Detección

Remediación

  • Actualización de Software: Actualizar inmediatamente LiteLLM a la versión 1.83.9 o superior, la cual incluye los parches acumulativos para ambos vectores de vulnerabilidad.
  • Control de Accesos: Restringir estrictamente el acceso a la red interna y limitar la emisión de tokens de sesión con privilegios de tablero (litellm-dashboard).
  • Hardening de Variables de Entorno: Auditar los valores actuales de configuración en busca de alteraciones anómalas en variables críticas como UI_LOGO_PATH, UI_USERNAME y parámetros de enrutamiento externo.

Detección

Los equipos de defensa deben monitorear los registros de acceso en busca de solicitudes HTTP POST anómalas hacia /config/update provenientes de cuentas sin privilegios administrativos, así como peticiones al endpoint /get_image que contengan rutas absolutas del sistema operativo o URLs externas sospechosas.

Advertencia Defensiva: La exposición de pasarelas de IA sin parches adecuados facilita la ejecución de código en la red interna y la captura de secretos corporativos de múltiples proveedores de modelos.

regex 
# Regla analítica para detección de peticiones sospechosas a /config/update en registros HTTP
^.*POST\s+/config/update\s+HTTP\/.*$

Recapitulando

El análisis de las vulnerabilidades en LiteLLM pone de manifiesto que la rápida evolución y adopción de herramientas en el ecosistema de IA a menudo pasa por alto principios fundamentales de seguridad como el control de acceso basado en roles y el saneamiento estricto de entradas. Una omisión inicial de autorización desencadenó múltiples vías de compromiso crítico, demostrando la necesidad de aplicar prácticas estrictas de ingeniería defensiva en infraestructuras de modelos de lenguaje.

Referencias