Razvijalci Python knjižnice LiteLLM, ki ima 95 milijonov prenosov na mesec in 3,5 milijona v zadnjih 24 urah, so poročali o kompromitaciji projekta. Napadalci so uspeli pridobiti prijavne podatke skrbnika in objaviti dve zlonamerni različici na PyPI — 1.82.7 in 1.82.8, ki vsebujeta kodo za krajo ključev in gesel iz uporabniških sistemov. Zlonamerne različice so trenutno odstranjene iz PyPI, projekt pa je začasno ustavljen do konca preiskave.
Dostopna koda za račun LiteLLM na PyPI je padla v roke napadalcev zaradi uporabe skenerja za varnostne odvisnosti trivvy v sistemu neprekinjene integracije. Pred tem so napadalci konec februarja uspeli pridobiti dostop do infrastrukture projekta Trivy, izkoristivši ranljivost v upravljalcu pull_request_target, ki se izvaja v sistemu neprekinjene integracije Trivy. Po kompromitaciji so napadalci objavili zlonamerne različice Trivy 0.69-0.69, zamenjali upravljalec GitHub Action trivy-action in objavili spremenjeno Docker sliko s Trivy.
24. marca ob 11:30 (MSK) so bili pridobljeni prijavni podatki skrbnika LiteLLM (krrishdholakia) uporabljeni za neposredno objavo zlonamernih različic LiteLLM 1.82.7 in 1.82.8 na PyPI, mimo uradnega GitHub CI/CD. Repo projekta na GitHubu ni bil prizadet — zlonamerna aktivnost je bila opazna samo na PyPI. V različici LiteLLM 1.82.7 je bila zlonamerna koda vgrajena v datoteko litellm/proxy/proxy_server.py in se je aktivirala ob uvozu litellm.proxy. V različici 1.82.8 je bil vključen datoteka site-packages/litellm_init.pth, medtem ko je bila v datoteko proxy_server.py dodana obdelovalna funkcija, pakirana v formatu base64 in aktivirana ob vsakem zagonu.
Dodana zlonamerna koda je izvajala skeniranje in pošiljanje zaupnih podatkov. Pošiljali so odkrite ključe SSH in SSL/TLS, vsebino okolijskih spremenljivk, prijavne podatke za AWS, GCP, Azure in K8s, ključe kripto denarnic, gesla za podatkovne baze, zgodovino operacij v ukazni lupini, datoteke konfiguracije iz Git, CI/CD, upravljalnikov paketov in Docker. Odkriti podatki so bili šifrirani z uporabo algoritmov AES-256-CBC + RSA-4096 in poslani s HTTP POST zahtevo na spletno stran "https://models.litellm.cloud/" (domena litellm.cloud je bil registriran nekaj ur pred objavo zlonamernih različic).
Uporabnikom LiteLLM se priporoča, da preverijo, ali v mapi site-packages ni datoteke litellm_init.pth, da posodobijo vse ključe in poverilnice v primeru namestitve različice 1.82.7 ali 1.82.8, da določijo konkretne različice LiteLLM v nastavitvah nalaganja odvisnosti ter da primerjajo uporabljene izdaje LiteLLM s kodo izdanj na GitHubu.
Izvor: opennet.ru
