Populārās MI bibliotēkas LiteLLM versijā 1.107.0 iepludināta paroļu zagšanas programma

Atvērtā koda Python bibliotēkas LiteLLM, ko izstrādātāji izmanto, lai vienā vietā pieslēgtu dažādu lielo valodas modeļu pakalpojumus, versijā 1.107.0 bija iebūvēta ļaunatūra, kas zog piekļuves datus un ļauj uzbrucējiem attālināti palaist kodu. To 21. oktobrī apstiprināja pati LiteLLM komanda, un incidentu neatkarīgi analizējuši arī Datadog un JFrog drošības pētnieki.

Saskaņā ar LiteLLM publicēto hronoloģiju inficētās pakotnes PyPI repozitorijā parādījās 11:39 pēc UTC un tika izņemtas līdz 13:23. Docker attēli ar tagiem v1.107.0, latest, main-latest un main-stable uz kompromitēto saturu norādīja no 11:46 līdz 14:20 pēc UTC. Uzņēmums uzsver, ka visas iepriekšējās versijas ir drošas, un iesaka piesaistīt versiju 1.106.2. Klientus, kas izmanto privāto uzņēmumu reģistru, incidents neskāra.

Incidents ir nopietns tāpēc, ka LiteLLM bieži darbojas kā starpnieks, kurā glabājas daudzu MI pakalpojumu API atslēgas. Datadog lēš, ka bibliotēku lejupielādē ap 23 miljoniem reižu nedēļā. Ļaunatūra vāca mākoņpakalpojumu (AWS, Google Cloud, Azure) akreditācijas datus, SSH un citas privātās atslēgas, vides mainīgos, pārlūkos saglabātās paroles un MI programmēšanas rīku, piemēram, Cursor, Claude un Codex, sesijas. Ja bija pieslēgta datubāze, tā mēģināja izvilkt arī LiteLLM starpniekserverī glabātās pakalpojumu atslēgas.

Pētnieki skaidro, ka inficētā pakotne site-packages mapē ievietoja failus cook.pth, cook.py un sitecustomize.py, kurus Python izpilda katrā startēšanas reizē, pat ja programma pati LiteLLM neimportē. Tāpēc pakotnes atinstalēšana ar pip vien sistēmu neattīra. Otrā daļa ik stundu pārbaudīja failu GitHub krātuvē un varēja lejupielādēt un izpildīt jaunu kodu. Datadog norāda, ka tur bija tikai testa vērtības, tāpēc otrā posma ļaunatūra praksē netika novērota.

LiteLLM skaidro, ka uzbrucējs ieguva trīs izstrādātāju GitHub CLI piekļuves pilnvaras, ar vienu no tām apgāja zaru aizsardzību un palaida izlaides procesu, kas pakotnes būvēja no viltus krātuves Berri-AI/litellm, nevis īstās BerriAI/litellm. Uzņēmuma ieskatā pilnvaras varēja nonākt atklātībā caur iekšējās LiteLLM sistēmas žurnāliem, taču kā uzbrucējs tai piekļuva, vēl tiek noskaidrots.

Šis ir jau otrais LiteLLM piegādes ķēdes incidents šogad. Martā ļaunatūra tika atrasta versijās 1.82.7 un 1.82.8, taču Datadog norāda, ka saikne starp abiem gadījumiem nav noskaidrota.

Skartajiem lietotājiem ieteikts nestartēt Python inficētajā vidē, manuāli izdzēst minētos failus, apturēt fona procesu, pārbūvēt vidi no jauna un no tīra datora nomainīt visas atslēgas un paroles, kurām resursdators varēja piekļūt. Izmeklēšana turpinās, un LiteLLM sola publicēt papildu informāciju.