PyPI-s on saadaval pahatahtlikud versioonid LiteLLM raamatukogust, millel on 95 miljonit allalaadimist kuus.

Pythoni LiteLLMi teegi arendajad, kellel on 95 miljonit allalaadimist kuus ja 3,5 miljonit viimase 24 tunni jooksul, teatasid projekti kompromiteerimisest. Ründajad suutsid haarata administraatori mandaadi ja avaldasid PyPI-s kaks pahavara versiooni — 1.82.7 ja 1.82.8, mis sisaldasid koodi kasutajate võtmete ja paroolide varastamiseks. Praegu on pahavara versioonid PyPI-st eemaldatud ning projekt on ajutiselt peatatud kuni uurimise lõpuni.

LiteLLMi PyPI kontole pääsenud juurdepääsutoken sattus ründajate kätte, kuna pideva integreerimise süsteemis kasutati sõltuvuste turvatesti skannerit trivvy. Varem veebruaris suutsid ründajad pääseda Trivy infrastruktuuri, kasutades ära haavatavust pull_request_target töötlejas, mis käivitub Trivy pideva integreerimise süsteemis. Pärast kompromiteerimist avaldasid ründajad pahavara versioone Trivy 0.69-0.69, asendasid GitHub Action töötleja trivy-action ja panid üles muudetud Docker-pildi Trivyst.

24. märtsil kell 11:30 (MSK) kasutati LiteLLMi administraatori (krrishdholakia) varastatud mandaate pahavara versioonide LiteLLM 1.82.7 ja 1.82.8 otse avaldamiseks PyPI-s, mööda ametlikku GitHub CI/CD-d. Projekti repos GitHubis ei saanud kahju — pahatahtlik tegevus toimus ainult PyPI-s. LiteLLM 1.82.7 versioonis oli pahavara kood sisseehitatud faili litellm/proxy/proxy_server.py ja aktiveerus litellm.proxy importimisel. Versioonis 1.82.8 sisaldas see faili site-packages/litellm_init.pth, ja faili proxy_server.py lisati töötleja, pakendatud base64 formaati, mis aktiveeriti igasuguste käivituste korral.

Lisatud pahavara kood skaneeris ja saatis konfidentsiaalseid andmeid. Leitud süsteemi SSH ja SSL/TLS võtmed, keskkonnamuutujate sisu, AWS, GCP, Azure ja K8s mandaadid, krüptorahakotide võtmed, andmebaaside paroolid, käsurea toimingute ajalugu, Git, CI/CD, pakihaldajate ja Docker konfiguratsioonifailid saadeti. Leitud andmed krüpteeriti AES-256-CBC + RSA-4096 algoritmidega ja saadeti HTTP POST-päringuga aadressile "https://models.litellm.cloud/" (domeen litellm.cloud registreeriti mitu tundi enne pahavara versioonide avaldamist).

LiteLLM kasutajatel on soovitatav kontrollida, et kataloogis site-packages ei oleks faili litellm_init.pth, uuendada kõiki võtmeid ja mandaate, kui on installitud versioon 1.82.7 või 1.82.8, fikseerida konkreetsed LiteLLM versioonid sõltuvuste laadimise parameetrites ning võrrelda kasutatavaid LiteLLM väljalaskeid GitHubi väljalaske koodiga.

Allikas: opennet.ru