--- title: "LiteLLM の MCP エンドポイントで認証を回避され、MCP ツールを呼び出せる欠陥（CVE-2026-59822）: CISA KEV に追加済み、1.84.0 で修正" url: https://n-t-p.io/worldsecurity/articles/litellm-cve-2026-59822-kev-mcp-endpoint-auth-bypass lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-59822 --- # LiteLLM の MCP エンドポイントで認証を回避され、MCP ツールを呼び出せる欠陥（CVE-2026-59822）: CISA KEV に追加済み、1.84.0 で修正 > **TL;DR:** LLM ゲートウェイ LiteLLM の MCP エンドポイントで、偽の Authorization ヘッダーにより認証を回避され、MCP ツールを呼び出せる欠陥（CVE-2026-59822、CVSS 8.2、EPSS 0.008）。CISA KEV に 2026-09-02 追加済み。1.84.0 へ更新し、更新できない間は /mcp/ を遮断する。 **要点** - 偽の Bearer トークンで LiteLLM の鍵検証が空の認証情報に置き換わり、MCP ツールの一覧取得・呼び出しができる（CVE-2026-59822、CWE-287/306、NVD CVSS v3.1 8.2） - 認証不要でネットワークから到達できれば成立し、MCP 経由で接続された社内サービスに被害が及ぶ恐れがある - CISA KEV に 2026-09-02 追加（期限 09-16、悪用あり・自動化可能）。EPSS は 0.008 と低め。対象は 1.84.0 未満で、修正版は 1.84.0 - 更新、更新できない間の /mcp/ の遮断、接続先の権限の見直しが必要。悪用の規模と攻撃者は未確認 LLM API をまとめて呼び出せるプロキシ（AI ゲートウェイ）の LiteLLM に、MCP（Model Context Protocol）用の HTTP エンドポイントで認証を回避できる欠陥（CVE-2026-59822）が見つかりました。偽の Authorization ヘッダーを付けるだけで、LiteLLM の鍵の検証に失敗しても「空の認証情報」に置き換わる処理が働き、有効な鍵なしで MCP のツールに要求が届きます。CISA の KEV（悪用が確認された脆弱性）カタログには 2026-09-02 に追加されています。NVD の CVSS v3.1 は 8.2 で、悪用予測（EPSS）は 0.008 と低めです。修正版は LiteLLM 1.84.0 です。 ## 概要 | 項目 | 内容 | |---|---| | 問題 | MCP の Streamable HTTP エンドポイントで、上流 MCP サーバー向けの OAuth2 パススルーの代替処理が、失敗した LiteLLM 鍵の検証を空の `UserAPIKeyAuth()` に置き換える（CWE-287、CWE-306） | | 攻撃条件 | ネットワークから到達できれば認証不要・操作不要（AV:N/AC:L/PR:N/UI:N） | | 影響 | 設定済みの MCP ツールの一覧取得・呼び出し、MCP 経由で接続されたサービスへのアクセス | | CVSS v3.1 | 8.2（NVD。ベクターは C:H/I:L/A:N）。GitHub 評価の CVSS v4.0 は 8.8 | | EPSS | 0.008（パーセンタイル 0.578） | | CISA KEV | 2026-09-02 追加。期限 2026-09-16 | | CISA SSVC | 悪用あり・自動化可能・技術的影響は部分的 | | NVD の状態 | Analyzed | | 対象 | LiteLLM 1.84.0 より前 | | 修正版 | 1.84.0 | 仕組みは次のとおりです。LiteLLM の MCP 認証処理は、上流の MCP サーバーが OAuth2 を使う場合のために、受け取った Bearer トークンをそのまま通す代替処理を持っていました。この代替処理が、LiteLLM 自身の鍵の検証が失敗した場合にも動き、検証結果を空の認証オブジェクトに置き換えていました。その結果、でたらめなトークンでも「認証済みの MCP セッション」として扱われます。攻撃者は、ゲートウェイに設定された MCP ツールを列挙して呼び出せます。 ## なぜ重要か LiteLLM は社内の AI 基盤や開発環境で、複数の LLM をまとめる入口として使われます。MCP ツールには、社内のデータベース、チケット、ファイル、クラウド API などが接続されていることがあり、認証を迂回されると、LiteLLM ではなくその先のサービスに被害が及びます。 CVSS は 8.2 で「重大」の水準には届きません。EPSS も 0.008 と低めです。ただし KEV に載っており、CISA は悪用あり・自動化可能としています。MCP を有効にして外部から到達できる構成は、早めの更新が必要です。MCP を使っていない構成や、MCP の経路を前段で遮断している構成では影響が限られます。 ## 対策 - LiteLLM を 1.84.0 以上に更新する（`pip show litellm` やコンテナのタグで版を確認できる）。 - すぐに更新できない場合は、ベンダーの案内どおり、MCP のルートを無効にするか、リバースプロキシや API ゲートウェイで `/mcp/` と関連するエンドポイントへのアクセスを遮断する。 - MCP に接続しているサービスの認証情報と権限を点検する。ゲートウェイを経由せず直接アクセスされても被害が小さくなるよう、権限を絞る。 - KEV の期限（2026-09-16）はすでに過ぎている。MCP エンドポイントへの不審なアクセス（未知の Bearer トークン、ツールの一覧取得や呼び出しの記録）がないか、ゲートウェイと接続先のログを調べる。 ## 数値と出典（2026-11-04 時点） | 項目 | 内容 | |---|---| | NVD | Analyzed。CVSS v3.1 8.2（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N）。CVSS v4.0 8.8 は GitHub の評価 | | EPSS | 0.008、パーセンタイル 0.578（FIRST、2026-11-03） | | KEV | 2026-09-02 追加。期限 2026-09-16 | | 出典 | NVD、CISA KEV、FIRST、GitHub アドバイザリ（GHSA-7488-6r32-c95q）、LiteLLM 1.84.0 リリースノート | ## 未確認の点 - 悪用の規模、攻撃者、狙われた具体的な環境。KEV は悪用の確認を示すが、詳細は公開情報で確認できていない。 - NVD の参照に挙がっている第三者の調査記事（AI 基盤を狙う攻撃の観測）が、この欠陥の悪用をどこまで扱っているか。 - 1.84.0 より前の各系統（1.83 系など）への修正の移植の有無。NVD は 1.84.0 未満を対象としている。 - ランサムウェアでの利用の有無。 ## 出典 - [NVD CVE-2026-59822](https://nvd.nist.gov/vuln/detail/CVE-2026-59822) — NIST NVD - [GitHub Security Advisory GHSA-7488-6r32-c95q](https://github.com/BerriAI/litellm/security/advisories/GHSA-7488-6r32-c95q) — LiteLLM プロジェクト - [LiteLLM v1.84.0 リリースノート](https://github.com/BerriAI/litellm/releases/tag/v1.84.0) — LiteLLM プロジェクト - [CISA KEV カタログ CVE-2026-59822](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-59822) — CISA - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-59822) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/litellm-cve-2026-59822-kev-mcp-endpoint-auth-bypass