検索NeSC を見る
脆弱性・CVE速報深刻度: 高

LiteLLM の MCP エンドポイントで認証を回避され、MCP ツールを呼び出せる欠陥（CVE-2026-59822）: CISA KEV に追加済み、1.84.0 で修正

World Security 編集部
AI 支援あり
目次（5）

CVE-2026-59822

LLM API をまとめて呼び出せるプロキシ（AI ゲートウェイ）の LiteLLM に、MCP（Model Context Protocol）用の HTTP エンドポイントで認証を回避できる欠陥（CVE-2026-59822）が見つかりました。偽の Authorization ヘッダーを付けるだけで、LiteLLM の鍵の検証に失敗しても「空の認証情報」に置き換わる処理が働き、有効な鍵なしで MCP のツールに要求が届きます。CISA の KEV（悪用が確認された脆弱性）カタログには 2026-09-02 に追加されています。NVD の CVSS v3.1 は 8.2 で、悪用予測（EPSS）は 0.008 と低めです。修正版は LiteLLM 1.84.0 です。

概要

項目内容
問題MCP の Streamable HTTP エンドポイントで、上流 MCP サーバー向けの OAuth2 パススルーの代替処理が、失敗した LiteLLM 鍵の検証を空の UserAPIKeyAuth() に置き換える（CWE-287、CWE-306）
攻撃条件ネットワークから到達できれば認証不要・操作不要（AV:N/AC:L/PR:N/UI:N）
影響設定済みの MCP ツールの一覧取得・呼び出し、MCP 経由で接続されたサービスへのアクセス
CVSS v3.18.2（NVD。ベクターは C:H/I:L/A:N）。GitHub 評価の CVSS v4.0 は 8.8
EPSS0.008（パーセンタイル 0.578）
CISA KEV2026-09-02 追加。期限 2026-09-16
CISA SSVC悪用あり・自動化可能・技術的影響は部分的
NVD の状態Analyzed
対象LiteLLM 1.84.0 より前
修正版1.84.0

仕組みは次のとおりです。LiteLLM の MCP 認証処理は、上流の MCP サーバーが OAuth2 を使う場合のために、受け取った Bearer トークンをそのまま通す代替処理を持っていました。この代替処理が、LiteLLM 自身の鍵の検証が失敗した場合にも動き、検証結果を空の認証オブジェクトに置き換えていました。その結果、でたらめなトークンでも「認証済みの MCP セッション」として扱われます。攻撃者は、ゲートウェイに設定された MCP ツールを列挙して呼び出せます。

なぜ重要か

LiteLLM は社内の AI 基盤や開発環境で、複数の LLM をまとめる入口として使われます。MCP ツールには、社内のデータベース、チケット、ファイル、クラウド API などが接続されていることがあり、認証を迂回されると、LiteLLM ではなくその先のサービスに被害が及びます。

CVSS は 8.2 で「重大」の水準には届きません。EPSS も 0.008 と低めです。ただし KEV に載っており、CISA は悪用あり・自動化可能としています。MCP を有効にして外部から到達できる構成は、早めの更新が必要です。MCP を使っていない構成や、MCP の経路を前段で遮断している構成では影響が限られます。

対策

  • LiteLLM を 1.84.0 以上に更新する（pip show litellm やコンテナのタグで版を確認できる）。
  • すぐに更新できない場合は、ベンダーの案内どおり、MCP のルートを無効にするか、リバースプロキシや API ゲートウェイで /mcp/ と関連するエンドポイントへのアクセスを遮断する。
  • MCP に接続しているサービスの認証情報と権限を点検する。ゲートウェイを経由せず直接アクセスされても被害が小さくなるよう、権限を絞る。
  • KEV の期限（2026-09-16）はすでに過ぎている。MCP エンドポイントへの不審なアクセス（未知の Bearer トークン、ツールの一覧取得や呼び出しの記録）がないか、ゲートウェイと接続先のログを調べる。

数値と出典（2026-11-04 時点）

項目内容
NVDAnalyzed。CVSS v3.1 8.2（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N）。CVSS v4.0 8.8 は GitHub の評価
EPSS0.008、パーセンタイル 0.578（FIRST、2026-11-03）
KEV2026-09-02 追加。期限 2026-09-16
出典NVD、CISA KEV、FIRST、GitHub アドバイザリ（GHSA-7488-6r32-c95q）、LiteLLM 1.84.0 リリースノート

未確認の点

  • 悪用の規模、攻撃者、狙われた具体的な環境。KEV は悪用の確認を示すが、詳細は公開情報で確認できていない。
  • NVD の参照に挙がっている第三者の調査記事（AI 基盤を狙う攻撃の観測）が、この欠陥の悪用をどこまで扱っているか。
  • 1.84.0 より前の各系統（1.83 系など）への修正の移植の有無。NVD は 1.84.0 未満を対象としている。
  • ランサムウェアでの利用の有無。

この記事について

AI の利用
本記事は AI が NVD などの公開情報をもとに作成しました。数値は取得時点（2026-11-03〜04）のもので、未確認の点は本文に明記しています。

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事