LiteLLM MCP Authentication Bypass: Jetzt patchen
Ein LiteLLM MCP Authentication Bypass, CVE-2026-59822 (CVSS 8,8), erlaubt es einem Angreifer, die OAuth2-Anmeldung beim Verbinden mit Model-Context-Protocol-Servern über den LiteLLM-Proxy vollständig zu umgehen und dabei jeden Zugriff zu erhalten, den eine authentifizierte Sitzung hätte. CISA nahm die Schwachstelle am 2. September in den Known-Exploited-Vulnerabilities-Katalog auf, die erste MCP-bezogene Schwachstelle überhaupt in diesem Katalog; WatchTowr berichtet von Ausnutzungsaktivität seit etwa dem 1. September. Ein Fix existiert bereits seit LiteLLM v1.84.0, veröffentlicht am 14. Mai.
Was ist passiert
Der LiteLLM-Proxy verfügt über einen OAuth2-Passthrough-Modus für MCP-Serververbindungen, der die Authentifizierung eines Clients an den nachgelagerten MCP-Server weiterreichen soll, statt separat erneut zu authentifizieren. Bei bestimmten Konfigurationen akzeptiert ein Fallback-Pfad in dieser Passthrough-Logik die Verbindung selbst dann, wenn die OAuth2-Validierung fehlschlägt oder übersprungen wird, und behandelt sie trotzdem als authentifiziert. Da MCP-Server üblicherweise mit internen Werkzeugen, Datenquellen und anderen Agenten verbunden sind, verschafft ein Bypass auf dieser Ebene einem Angreifer genau den Zugriff, den die MCP-Integration selbst bereitstellt, ohne dass gültige Anmeldedaten vorgelegt werden müssen.
Der LiteLLM MCP Authentication Bypass betrifft Proxy-Bereitstellungen mit aktiviertem OAuth2-Passthrough-Modus in Versionen vor 1.84.0. CISAs Meldefrist für US-Bundesbehörden für diese Schwachstelle endet heute, am 16. September.
Warum das wichtig ist
MCP hat sich zum Verbindungsgewebe entwickelt, über das ein wachsender Anteil der KI-Einsätze im DACH-Mittelstand LLM-Anwendungen mit internen Systemen verknüpft: Ticketing-Plattformen, Datenbanken, Dateiablagen und andere Agenten. Welcher Zugriff auch immer eine MCP-Integration mit sich bringt, genau den übergibt ein Authentication Bypass auf der Proxy-Ebene. Als erste MCP-spezifische Schwachstelle im CISA-KEV-Katalog markiert dieser Vorfall zugleich den Punkt, an dem MCP-Infrastruktur eine eigene Historie ausgenutzter Schwachstellen aufbaut, nicht nur einen Einzelfall.
Was Sie jetzt tun sollten
- Aktualisieren Sie LiteLLM umgehend auf v1.84.0 oder neuer; der Fix existiert bereits seit dem 14. Mai, also über vier Monate Exposition.
- Prüfen Sie, ob der OAuth2-Passthrough-Modus bei MCP-Serververbindungen in Ihrer Umgebung aktiviert ist; falls ein sofortiges Update nicht möglich ist, sollte dieser Modus zuerst deaktiviert werden.
- Prüfen Sie die Zugriffsprotokolle Ihrer MCP-Server seit dem 1. September auf Verbindungen, die ohne gültige OAuth2-Anmeldedaten zustande kamen.
DIESEC Einschätzung
MCP-Tooling entwickelt sich rasant weiter, und sowohl die damit verwaltete Zugriffsfläche als auch die Annahme „wenn es sich verbindet, ist es authentifiziert“ verdienen eine ausdrückliche Prüfung in jeder Risikobewertung von KI-Integrationen, statt einer bloßen Patch-und-weiter-Behandlung wie bei klassischer Infrastruktur.
Nicht sicher, welche Ihrer KI-Einsätze über LiteLLM laufen oder ob OAuth2-Passthrough irgendwo in Ihrer MCP-Konfiguration aktiv ist? Kontaktieren Sie DIESEC für eine schnelle Konfigurationsprüfung und Expositions-Analyse.
Quellen: The Hacker News | BleepingComputer
Veröffentlicht: 2026-09-18 | Kategorie: Tägliche News | ~4 Min. Lesezeit
