2026-08-29T08:06:05+09:00
要点
- LiteLLM 1.84.0未満のMCP Streamable HTTP認証を回避される可能性がある
- 認証なしでMCPツールの列挙・呼び出しや接続サービスへのアクセスにつながり得る
- 1.84.0以降へ更新し、更新までの間はMCP関連ルートを遮断する
公式・ストア
発表・発売情報
| 発表日 | 2026-06-30T23:08:35+00:00 |
|---|---|
| 発売・公開予定 | 公式アドバイザリは2026年6月30日公開。NVD記録は2026年8月28日20時19分UTCに更新。 |
| 対応プラットフォーム | LiteLLM Proxy |
LiteLLMのMCP認証回避をNVDがHigh評価
AIゲートウェイ「LiteLLM」のMCP Streamable HTTPエンドポイントに、認証を回避される脆弱性CVE-2026-59822があります。NVDは2026年8月28日20時19分（UTC）に記録を更新し、CVSS 3.1基本値を8.2（High）としています。
影響を受けるのはLiteLLM 1.84.0未満です。LiteLLM ProxyでMCPを有効にし、ネットワークから関連エンドポイントへ到達できる構成は、バージョンと公開範囲を確認してください。
任意のBearer値がOAuth2フォールバックへ進む
公式アドバイザリによると、MCP認証ハンドラーは上流MCPサーバー向けのOAuth2パススルーに対応していました。しかしフォールバック処理でLiteLLMキー検証に失敗した後、空の認証オブジェクトへ置き換えられる経路がありました。
攻撃者は細工したAuthorizationヘッダーを送ることで、有効なLiteLLMキーを持たずにMCPツールへ到達できる可能性があります。成功した場合、設定済みツールの列挙・呼び出しや、MCP経由で公開された接続サービスへのアクセスにつながります。
1.84.0以降へ更新、難しい場合はMCPルートを遮断
修正はLiteLLM 1.84.0に含まれています。まず実行中のLiteLLM Proxyのバージョンを確認し、1.84.0以降へ更新してください。公式リリースでは、MCPの公開ルート判定とOAuth2フォールバック条件を厳格化する修正が確認できます。
すぐに更新できない場合、公式アドバイザリはMCPルートの無効化、またはリバースプロキシ・APIゲートウェイで/mcp/と関連MCPエンドポイントを遮断する暫定策を示しています。内部ネットワーク限定の構成でも、到達可能な利用者とサービスアカウントを確認してください。
- LiteLLM Proxyの実行バージョンを確認する
- 1.84.0以降へ更新する
- 更新までMCP関連エンドポイントを無効化または遮断する
- MCPに接続しているツールとサービスの権限を見直す
MCP全体の脆弱性とは限らない
今回確認されたのは、LiteLLM 1.84.0未満におけるMCP Streamable HTTPの認証処理です。MCP規格そのものや、ほかのMCP実装が同じ脆弱性を持つとする根拠ではありません。
また、CVSS 8.2は技術的な深刻度を示す評価であり、実際の悪用発生を意味しません。公開範囲、接続ツールの権限、監査ログを確認し、自分の環境での影響を判断してください。
主な仕様
| 影響を受けるバージョン | LiteLLM 1.84.0未満 | 出典 |
|---|---|---|
| 修正版 | LiteLLM 1.84.0以降 | 出典 |
| NVD評価 | CVSS 3.1: 8.2 High（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N） | 出典 |
影響範囲と対応
| 種別 | vulnerability |
|---|---|
| 重要度 | high |
| 影響対象 | LiteLLM Proxy 1.84.0未満でMCP Streamable HTTPエンドポイントを使用する構成 |
| 推奨対応 | LiteLLM 1.84.0以降へ更新する。直ちに更新できない場合はMCPルートを無効化するか、リバースプロキシまたはAPIゲートウェイで/mcp/と関連エンドポイントへのアクセスを遮断する。 |
確認できたこと
- LiteLLM 1.84.0未満のMCP Streamable HTTPエンドポイントには、細工したAuthorizationヘッダーによってLiteLLMキー検証を回避される脆弱性CVE-2026-59822がある。 出典
- 認証回避に成功すると、攻撃者は設定済みのMCPツールを列挙・呼び出し、MCP経由で公開されている接続サービスへアクセスできる可能性がある。 出典
- LiteLLMの公式アドバイザリは1.84.0で修正済みとし、1.84.0以降への更新を推奨している。すぐ更新できない場合はMCPルートを無効化するか、リバースプロキシまたはAPIゲートウェイで/mcp/と関連エンドポイントを遮断する暫定策を案内している。 出典
- NVDはCVE-2026-59822をCVSS 3.1基本値8.2（High）、攻撃元区分ネットワーク、攻撃条件低、必要権限なし、利用者操作不要と評価している。NVD記録は2026年8月28日20時19分UTCに更新された。 出典
- LiteLLM v1.84.0の公式リリースには、MCPの公開ルート判定とOAuth2フォールバック条件を厳格化する修正が含まれる。 出典
所感
LiteLLM ProxyでMCPを外部公開している運用者は、バージョン確認と公開経路の確認を同時に行うべきです。
問題は単なる管理画面の表示不具合ではなく、認証なしのネットワーク攻撃者がMCPツールと接続先へ到達し得る認証境界の欠陥だからです。
この脆弱性をMCP規格全体の問題と解釈するのは適切ではありません。
公式情報が示す影響対象はLiteLLM 1.84.0未満のMCP Streamable HTTP認証処理であり、MCPを実装するすべての製品が同じ影響を受けるとは確認されていません。