Python'i LiteLLM teegi arendajad, millel on 95 miljonit allalaadimist kuus ja 3,5 miljonit viimase ööpäeva jooksul, teatasid projekti kompromiteerimisest. Ründajad suudsid hankida projekti hoidja sisselogimisandmed ja avaldada kaks pahatahtlikku väljaannet PyPIs - 1.82.7 ja 1.82.8, milles oli kood kasutajate võtmete ja paroolide varguseks. Praegu on pahatahtlikud versioonid PyPist eemaldatud ja projekt on ajutiselt peatatud, kuni uurimine on lõppenud.
LiteLLM konto ligipääsutoken PyPIs sattus ründajate kätte, kuna seda kasutati pideva integratsiooni süsteemis sõltuvuste turvaskanneris trivvy. Enne seda suudsid ründajad veebruari lõpus pääseda Trivy projekti infrastruktuuri, kasutades ära haavatavust pull_request_target töötlejas, mida käivitati Trivy pideva integratsiooni süsteemis. Pärast kompromiteerimist avaldasid ründajad pahatahtlikud väljaanded Trivy 0.69-0.69, asendasid GitHub Action töötleja trivy-action ja panid üles muudetud Docker-pildi Trivyga.
24. märtsil kell 11:30 (MSK) said kaasasoleva LiteLLM (krrishdholakia) sissetungimise tõttu kuritarvitatud mandaatide abil avaldatud kahjulikud versioonid LiteLLM 1.82.7 ja 1.82.8 PyPI-s, mööda ametlikest GitHub CI/CD protsessidest. Projekti GitHubi hoidla ei saanud kahjustada – kahjulikku tegevust täheldati ainult PyPI-s. LiteLLM 1.82.7 versioonis oli kahjulik kood integreeritud faili litellm/proxy/proxy_server.py ning aktiveerus, kui imporditi litellm.proxy. Versioonis 1.82.8 sisaldus fail site-packages/litellm_init.pth ning faili proxy_server.py lisati töötleja, mis oli pakitud base64 formaadis ja aktiveerus iga käivitamise korral.
Lisatud kahjulik kood skaneeris ja edastas konfidentsiaalset teavet. Edastati süsteemist leitud SSH ja SSL/TLS võtmed, keskkonnaparameetrite sisu, AWS, GCP, Azure ja K8s mandaadid, krüptovaluuta rahakoti võtmed, andmebaasi paroolid, kommuteerimise ajaloo failid, konfigureerimisfailid Gitist, CI/CD-st, pakihalduritest ja Dockerist. Leitud andmed krüptiti AES-256-CBC + RSA-4096 algoritmide abil ning edastati HTTP POST-päringuga aadressile "https://models.litellm.cloud/"domeeni litellm.cloud registreeriti vaid mõni tund enne kahjulike väljaannete avalikustamist).
LiteLLM kasutajatele soovitatakse kontrollida, kas kataloogis site-packages on fail litellm_init.pth, uuendada kõik võtmed ja mandaadid, kui on installitud versioon 1.82.7 või 1.82.8, fikseerida konkreetsed LiteLLM versioonid sõltuvuste laadimise parameetrites ja võrrelda kasutatavaid LiteLLM väljaandeid GitHubi versioonikoodiga.
Allikas: opennet.ru
