「BerriAI LiteLLM」にSQLi脆弱性 - 認証情報漏洩のおそれ、悪用も

米当局は、LLMサービス向けプロキシである「BerriAI LiteLLM」の脆弱性が悪用されているとして注意喚起を行った。データベース内の情報が読み取られるおそれがある。

「LiteLLM」は、複数の大規模言語モデル（LLM）サービスを扱うプロキシ機能を提供するソフトウェア。米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間2026年5月8日、「悪用が確認された脆弱性カタログ（KEV）」に「BerriAI LiteLLM」の脆弱性「CVE-2026-42208」を追加した。

「BerriAI LiteLLM」では、APIキーや認証情報の管理なども行うが、APIキーチェックに使用されるデータベースクエリの処理にSQLインジェクションの脆弱性「CVE-2026-42208」が存在。データベースのデータを読み取ったり、改ざんすることが可能で、管理する認証情報にアクセスされるおそれがある。

CVE番号を採番したGitHubでは、共通脆弱性評価システム「CVSSv4.0」のベーススコアを「9.3」と評価、重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

開発チームでは、2026年4月19日にリリースした「同1.83.7」にて同脆弱性を修正した。米行政機関では指定期間内に対応する必要があり、対応期限は現地時間2026年5月11日とされている。脆弱性については広く悪用されるおそれがあり、利用者は注意が必要となる。

（Security NEXT - 2026/05/11 ）ツイート

「BerriAI LiteLLM」にSQLi脆弱性 - 認証情報漏洩のおそれ、悪用も

関連リンク

PR

関連記事