LiteLLM MCP 스트리밍 엔드포인트 인증 우회 취약점 (CVE-2026-59822)

영향받는 벤더 / 생태계

berriai

대상 컴포넌트 / 패키지

litellm

권고문 발행일

2026-07-08

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

LiteLLM 1.84.0 미만 버전을 사용하는 AI 게이트웨이 및 프록시 서버 환경

파급 효과

인증되지 않은 공격자가 조작된 Authorization 헤더를 전송하여 유효한 API 키 없이 내부 MCP(Model Context Protocol) 도구 및 LLM API에 무단 접근할 수 있습니다.

권장 조치

LiteLLM 패키지를 최신 보안 패치가 적용된 1.84.0 이상 버전으로 즉시 업데이트하십시오.

영향받는 제품 및 버전 범위

LiteLLM 1.84.0 미만의 모든 버전

권장 패치 및 임시 완화(Workaround) 가이드

PATCH & WORKAROUND

1. 공식 패치 적용 (권장)

가장 확실한 해결책은 LiteLLM을 v1.84.0 이상 버전으로 업그레이드하는 것입니다.

bash

# pip를 사용하는 경우
pip install --upgrade litellm>=1.84.0

# Docker를 사용하는 경우 Dockerfile 또는 docker-compose.yml의 이미지를 업데이트
# image: ghcr.io/berriai/litellm:v1.84.0 (또는 최신 버전)

2. 임시 완화 조치 (패치 적용 전)

즉각적인 업데이트가 어려운 경우 아래의 완화 조치를 검토하십시오.

WAF(웹 애플리케이션 방화벽) 규칙 설정: 외부에서 유입되는 MCP 스트리밍 엔드포인트(/mcp 관련 경로)로의 비정상적인 Authorization 헤더 패턴을 탐지 및 차단합니다.
네트워크 격리: LiteLLM 프록시 서버의 관리 및 MCP 엔드포인트를 공용 인터넷에 노출하지 않고, 신뢰할 수 있는 내부 IP 대역(VPN, VPC 내부)에서만 접근할 수 있도록 ACL(Access Control List)을 설정합니다.

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

CISA KEV에 등재되어 실제 악용이 확인된 취약점이므로, 노출된 LiteLLM 인스턴스를 즉시 v1.84.0 이상으로 업데이트하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

LiteLLM은 다양한 LLM API를 단일 포맷으로 중계하는 프록시 서버(AI 게이트웨이)입니다. 본 취약점(CVE-2026-59822)은 LiteLLM의 MCP(Model Context Protocol) Streamable HTTP 엔드포인트에서 발생하는 심각한 인증 우회 결함입니다.

취약점 발생 원인 (CWE-287, CWE-306)

공격자가 조작된 Authorization 헤더를 포함하여 요청을 전송할 경우, 시스템 내부에서 OAuth2 패스스루(Passthrough) 폴백 경로가 트리거됩니다. 이 과정에서 LiteLLM 키 검증이 실패하면 예외를 처리하거나 요청을 차단해야 하지만, 시스템은 빈 UserAPIKeyAuth() 객체를 반환하는 오류를 범합니다. 결과적으로 유효한 API 키 검증 단계를 우회하고 빈 인증 객체를 통해 요청이 통과되어, 공격자가 인증 없이 내부 MCP 도구 및 연결된 LLM 자원에 접근할 수 있게 됩니다.

위협 시나리오 및 파급력

이 취약점은 CVSS 8.2(High)로 평가되었으며, CISA KEV(실제 악용된 취약점 목록)에 등재되어 야생에서 실제 공격에 악용되고 있음이 확인되었습니다. 외부 노출된 LiteLLM 인스턴스를 대상으로 공격자는 복잡한 권한 없이도 조작된 HTTP 헤더 하나만으로 내부 인프라 및 LLM 에이전트 도구에 명령을 내릴 수 있어 매우 위험합니다.

공식 보안 권고문 및 참조 링크

NVD Original English Description

LiteLLM is a proxy server (AI Gateway) to call LLM APIs in OpenAI (or native) format. Prior to 1.84.0, LiteLLM's MCP Streamable HTTP endpoint allowed an unauthenticated attacker to use a fabricated Authorization header to trigger an OAuth2 passthrough fallback path that replaced failed LiteLLM key validation with an empty UserAPIKeyAuth() object, allowing requests to reach MCP tooling without a valid LiteLLM key. This issue is fixed in version 1.84.0.

https://github.com/BerriAI/litellm/commit/73869f0faf7d11ee21adcb5f91b8c33a340b6c2c

Source: security-advisories@github.com · Patch

https://github.com/BerriAI/litellm/pull/26463

Source: security-advisories@github.com · Issue Tracking, Patch

https://github.com/BerriAI/litellm/releases/tag/v1.84.0

Source: security-advisories@github.com · Product, Release Notes

https://github.com/BerriAI/litellm/security/advisories/GHSA-7488-6r32-c95q

Source: security-advisories@github.com · Mitigation, Patch, Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-59822

Source: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

https://www.wiz.io/blog/ai-infrastructure-honeypot

Source: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · Third Party Advisory