В PyPI са открити злонамерени версии на библиотеката LiteLLM, която има 95 млн. изтегляния на месец.

Разработчиците на Python библиотеката LiteLLM, която има 95 милиона изтегляния на месец и 3.5 милиона за последните 24 часа, обявиха за компрометиране на проекта. Нападателите успели да прихванат идентификационни данни на поддържащия екип и да публикуват в PyPI два злонамерени релиза — 1.82.7 и 1.82.8, съдържащи код за кражба на ключове и пароли от системите на потребителите. В момента злонамерените версии са премахнати от PyPI, а проектът е временно спрян до края на разследването.

Токенът за достъп до акаунта LiteLLM в PyPI е попаднал в ръцете на нападателите заради използването на скенер за сигурност на зависимости trivvy в системата за непрекъсната интеграция. Преди това, в края на февруари, нападателите успели да получат достъп до инфраструктурата на проекта Trivy, като експлоатират уязвимост в обработчика pull_request_target, стартиран в системата за непрекъсната интеграция Trivy. След компрометирането нападателите публикуваха злонамерени версии на Trivy 0.69-0.69, подмениха GitHub Action обработчика trivy-action и поставиха модифициран Docker образ с Trivy.

На 24 март в 11:30 (MSK) прихванатите идентификационни данни на поддържащия LiteLLM (krrishdholakia) бяха използвани за пряка публикация на злонамерени релизи LiteLLM 1.82.7 и 1.82.8 в PyPI, заобикаляйки официални GitHub CI/CD. Репозитория на проекта в GitHub не пострада — злонамерената активност беше наблюдавана само в PyPI. В релиза LiteLLM 1.82.7 злонамереният код беше вграден във файла litellm/proxy/proxy_server.py и се активираше при импортиране на litellm.proxy. В релиза 1.82.8 беше включен файл site-packages/litellm_init.pth, а във файла proxy_server.py беше добавен обработчик, опакован в base64 формат и активиран при всяко стартиране.

Добавеният злонамерен код осъществяваше сканиране и изпращане на конфиденциални данни. Изпращаха се намерените в системата SSH и SSL/TLS ключове, съдържанието на променливи на средата, идентификационни данни за AWS, GCP, Azure и K8s, ключове за криптокошельки, пароли за бази данни, история на операциите в командния интерпретатор, конфигурационни файлове от Git, CI/CD, пакетни мениджъри и Docker. Откритите данни бяха шифровании с алгоритми AES-256-CBC + RSA-4096 и изпращани с HTTP POST заявка на сайта "https://models.litellm.cloud/" (домен litellm.cloud беше регистриран няколко часа преди публикуването на злонамерени релизи).

На потребителите на LiteLLM се препоръчва да проверят за наличието на файла litellm_init.pth в каталога site-packages, да актуализират всички ключове и удостоверения при инсталиране на версии 1.82.7 или 1.82.8, да фиксират конкретни версии на LiteLLM в параметрите за зареждане на зависимости и да проверят използваните издания на LiteLLM с кода на изданията в GitHub.

Източник: opennet.ru