Razvijatelji Python biblioteke LiteLLM, koja ima 95 milijuna preuzimanja mjesečno i 3.5 milijuna u posljednja 24 sata, izvijestili su o kompromitaciji projekta. Napadači su uspjeli preuzeti vjerodajnice održavatelja i objaviti dva zloćudna izdanja na PyPI - 1.82.7 i 1.82.8, koja sadrže kod za krađu ključeva i lozinki korisnika. Trenutno su zloćudne verzije uklonjene iz PyPI, a projekt je privremeno obustavljen do završetka istrage.
Pristupni token za LiteLLM račun na PyPI došao je u ruke napadača zbog korištenja skener sigurnosti ovisnosti trivvy u sustavu kontinuirane integracije. Prije toga, krajem veljače, napadači su uspjeli dobiti pristup infrastrukturi projekta Trivy iskorištavajući ranjivost u obradi pull_request_target koja se pokreće u sustavu kontinuirane integracije Trivy. Nakon kompromitacije, napadači su objavili zloćudna izdanja Trivy 0.69-0.69, zamijenili GitHub Action obrtnik trivy-action i objavili izmijenjenu Docker sliku s Trivy.
24. ožujka u 11:30 (MSK) ukradene vjerodajnice održavatelja LiteLLM (krrishdholakia) korištene su za izravno objavljivanje zloćudnih izdanja LiteLLM 1.82.7 i 1.82.8 na PyPI izvan službenog GitHub CI/CD. Projektni repozitorij na GitHub-u nije oštećen - zloćudna aktivnost zabilježena je samo na PyPI. U izdanju LiteLLM 1.82.7 zloćudni kod bio je ugrađen u datoteku litellm/proxy/proxy_server.py i aktivirao se pri uvozu litellm.proxy. U izdanju 1.82.8 uključena je datoteka site-packages/litellm_init.pth, a u datoteku proxy_server.py dodan je obrtnik spakiran u formatu base64 koji se aktivira pri svakom pokretanju.
Dodani zloćudni kod vršio je skeniranje i slanje povjerljivih podataka. Slali su se pronađeni ključevi SSH i SSL/TLS, sadržaj varijabli okruženja, vjerodajnice za AWS, GCP, Azure i K8s, ključevi iz kripto novčanika, lozinke za baze podataka, povijest operacija u komandnom interpreteru, konfiguracijske datoteke iz Git-a, CI/CD, menadžera paketa i Dockera. Pronađeni podaci šifrirani su koristeći algoritme AES-256-CBC + RSA-4096 i slani HTTP POST-om na stranicu "https://models.litellm.cloud/" (domen litellm.cloud registriran je nekoliko sati prije objavljivanja zloćudnih izdanja).
Korisnicima LiteLLM preporučuje se da provjere da li u direktoriju site-packages postoji datoteka litellm_init.pth, da ažuriraju sve ključeve i vjerodajnice u slučaju instalacije verzije 1.82.7 ili 1.82.8, da fiksiraju određene verzije LiteLLM u parametrima za preuzimanje ovisnosti i da usporede korištene izdanja LiteLLM s kodom izdanja na GitHubu.
Izvor: opennet.ru
