Dezvoltatorii bibliotecii Python LiteLLM, care are 95 de milioane de descărcări pe lună și 3,5 milioane în ultimele 24 de ore, au anunțat compromiterea proiectului. Atacatorii au reușit să intercepteze datele de autentificare ale susținătorului și să publice pe PyPI două versiuni rău intenționate — 1.82.7 și 1.82.8, conținând cod pentru furtul cheilor și parolelor din sistemele utilizatorilor. În prezent, versiunile rău intenționate au fost eliminate din PyPI, iar proiectul a fost temporar suspendat până la finalizarea investigației.
Tokenul de acces la contul LiteLLM pe PyPI a ajuns în mâinile atacatorilor din cauza utilizării în sistemul de integrare continuă a scannerului de securitate a dependențelor trivvy. Anterior, la sfârșitul lunii februarie, atacatorii au reușit să acceseze infrastructura proiectului Trivy, profitaind de o vulnerabilitate în handlerul pull_request_target, care era rulat în sistemul de integrare continuă Trivy. După compromitere, atacatorii au publicat versiuni rău intenționate Trivy 0.69-0.69, au înlocuit handlerul GitHub Action trivy-action și au încărcat o imagine Docker modificată cu Trivy.
Pe 24 martie la 11:30 (MSK), datele de autentificare interceptate ale susținătorului LiteLLM (krrishdholakia) au fost folosite pentru a publica direct versiunile rău intenționate LiteLLM 1.82.7 și 1.82.8 pe PyPI, ocolind oficial CI/CD-ul de pe GitHub. Repositorul proiectului pe GitHub nu a fost afectat — activitatea rău intenționată a fost observată doar pe PyPI. În versiunea LiteLLM 1.82.7, codul rău intenționat a fost încorporat în fișierul litellm/proxy/proxy_server.py și a fost activat la importul litellm.proxy. În versiunea 1.82.8, a fost inclus fișierul site-packages/litellm_init.pth, iar în fișierul proxy_server.py a fost adăugat un handler, ambalat în format base64 și activat la orice execuție.
Codul rău intenționat adăugat a realizat scanarea și trimiterea de date confidențiale. Au fost trimise cheile SSH și SSL/TLS găsite în sistem, conținutul variabilelor de mediu, datele de autentificare pentru AWS, GCP, Azure și K8s, cheile portofelelor criptografice, parole pentru SGBD-uri, istoria operațiunilor în interpretul de comenzi, fișierele de configurare de la Git, CI/CD, manageri de pachete și Docker. Datele descoperite au fost criptate utilizând algoritmi AES-256-CBC + RSA-4096 și au fost trimise printr-o solicitare HTTP POST către site-ul "https://models.litellm.cloud/" (domeniu litellm.cloud a fost înregistrat cu câteva ore înainte de publicarea versiunilor rău intenționate).
Utilizatorii LiteLLM sunt sfătuiți să verifice absența fișierului litellm_init.pth în directorul site-packages, să actualizeze toate cheile și acreditivele în cazul instalării versiunilor 1.82.7 sau 1.82.8, să blocheze versiuni specifice LiteLLM în parametrii de încărcare a dependențelor și să verifice versiunile folosite de LiteLLM cu codul versiunilor de pe GitHub.
Sursa: opennet.ro
