Descripción de la vulnerabilidad
LiteLLM es un servidor proxy, también conocido como AI Gateway, diseñado para invocar APIs de modelos de lenguaje de gran escala (LLM) en formato OpenAI o en formato nativo. Versiones anteriores a la 1.84.0 presentan una vulnerabilidad crítica de omisión de autenticación en el endpoint HTTP Streamable de MCP (Model Context Protocol).
Mecanismo de explotación
Un atacante no autenticado puede enviar una cabecera Authorization fabricada al endpoint MCP Streamable HTTP de LiteLLM. Esta cabecera maliciosa activa una ruta de contingencia (fallback) del flujo OAuth2 passthrough. Cuando la validación de la clave LiteLLM falla, el sistema sustituye el resultado por un objeto UserAPIKeyAuth() vacío en lugar de rechazar la solicitud. Como consecuencia, las peticiones consiguen alcanzar las herramientas MCP sin necesidad de presentar una clave LiteLLM válida.
Impacto técnico
Esta vulnerabilidad permite a cualquier actor externo sin credenciales legítimas interactuar con el conjunto de herramientas MCP expuesto por la instancia de LiteLLM. Dado que LiteLLM actúa como puerta de enlace hacia múltiples APIs de LLM, el acceso no autorizado a las herramientas MCP puede derivar en uso indebido de recursos, exfiltración de información procesada por los modelos o ejecución de operaciones privilegiadas sobre los backends conectados.
El vector de ataque es completamente remoto y no requiere ningún nivel de autenticación previo, lo que amplía significativamente la superficie de exposición en despliegues accesibles desde redes no confiables.
Versiones afectadas
Todas las versiones de LiteLLM anteriores a la 1.84.0 están afectadas por esta vulnerabilidad.
Solución
El problema ha sido corregido en la versión 1.84.0 de LiteLLM. Se recomienda actualizar de forma inmediata a esta versión o a cualquier versión posterior para eliminar el riesgo de explotación.