CVE-2024-2952

BerriAI LiteLLM – SSTI via Jinja umożliwia RCE przez endpoint /completions

CVSS 9.8v3.0pub. 2024-04-10upd. 2025-07-15

BerriAI LiteLLM zawiera podatność Server-Side Template Injection (SSTI) w endpoincie `/completions`, pozwalającą nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu na serwerze. Podatność posiada krytyczny wynik CVSS 9.8, co czyni ją zagrożeniem najwyższego priorytetu.

▸ Pokaż oryginał (EN)

BerriAI/litellm is vulnerable to Server-Side Template Injection (SSTI) via the `/completions` endpoint. The vulnerability arises from the `hf_chat_template` method processing the `chat_template` parameter from the `tokenizer_config.json` file through the Jinja template engine without proper sanitization. Attackers can exploit this by crafting malicious `tokenizer_config.json` files that execute arbitrary code on the server.

🤖 Analiza AI

Jak działa

Metoda `hf_chat_template` przetwarza parametr `chat_template` odczytany z pliku `tokenizer_config.json` bezpośrednio przez silnik szablonów Jinja2 bez odpowiedniej sanityzacji danych wejściowych. Atakujący może spreparować złośliwy plik `tokenizer_config.json` zawierający dyrektywy szablonu Jinja2, które zostaną wykonane po stronie serwera. Brak jakichkolwiek wymagań uwierzytelnienia (PR:N, UI:N) sprawia, że exploit można przeprowadzić zdalnie przez sieć bez interakcji użytkownika.

Skutki

Skuteczna eksploatacja umożliwia atakującemu pełne zdalne wykonanie dowolnego kodu na serwerze (RCE), co może prowadzić do całkowitego przejęcia kontroli nad hostem, kradzieży danych, naruszenia poufności i integralności środowiska.

Mitygacja

Należy zaktualizować LiteLLM do wersji zawierającej commit 8a1cdc901708b07b7ff4eca20f9cb0f1f0e8d0b3 lub nowszej, dostępny w repozytorium GitHub projektu BerriAI. Do czasu wdrożenia patcha zaleca się ograniczenie dostępu sieciowego do endpointu `/completions` oraz restrykcyjną kontrolę źródeł plików `tokenizer_config.json` przetwarzanych przez serwis.