Utvecklarna av Python-biblioteket LiteLLM, med 95 miljoner nedladdningar varje mĂ„nad och 3,5 miljoner under de senaste 24 timmarna, har meddelat om en kompromiss av projektet. Angriparna lyckades fĂ„ tag pĂ„ uppgifter frĂ„n maintainern och publicera tvĂ„ skadliga versioner pĂ„ PyPI â 1.82.7 och 1.82.8, som innehöll kod för att stjĂ€la nycklar och lösenord frĂ„n anvĂ€ndarsystem. För nĂ€rvarande har de skadliga versionerna tagits bort frĂ„n PyPI, och projektet Ă€r tillfĂ€lligt fryst tills utredningen Ă€r klar.
à tkomsttoken till LiteLLM-kontot pÄ PyPI kom i angriparnas hÀnder pÄ grund av anvÀndning av sÀkerhetsscannern trivvy i det kontinuerliga integrationssystemet. Tidigare, i slutet av februari, lyckades angriparna komma Ät Trivy-projektets infrastruktur genom att utnyttja en sÄrbarhet i hanteraren för pull_request_target, som kördes i Trivy CI-systemet. Efter kompromissen publicerade angriparna skadliga versioner av Trivy 0.69-0.69, bytte ut GitHub Action-handlern trivy-action och lade upp en modifierad Docker-image med Trivy.
Den 24 mars klockan 11:30 (MSK) anvĂ€ndes de stulna uppgifterna frĂ„n LiteLLM-maintainern (krrishdholakia) för att direkt publicera de skadliga versionerna LiteLLM 1.82.7 och 1.82.8 pĂ„ PyPI, förbi den officiella GitHub CI/CD. Projektets repository pĂ„ GitHub skadades inte â den skadliga aktiviteten observerades endast pĂ„ PyPI. I versionen LiteLLM 1.82.7 var skadlig kod inbĂ€ddad i filen litellm/proxy/proxy_server.py och aktiverades vid import av litellm.proxy. I version 1.82.8 ingick filen site-packages/litellm_init.pth, och en handler, packad i base64-format och aktiverad vid varje körning, lades till i filen proxy_server.py.
Den tillagda skadliga koden utförde skanning och sÀnde kÀnslig information. Hittade SSH- och SSL/TLS-nycklar, innehÄllet i miljövariabler, AWS-, GCP-, Azure- och K8s-uppgifter, kryptovaluta-plÄnboksnycklar, lösenord till databas-system, historik över operationer i kommandotolken, konfigurationsfiler frÄn Git, CI/CD, paket- och Docker-hanterare skickades. Den upptÀckta informationen krypterades med AES-256-CBC + RSA-4096-algoritmer och skickades med en HTTP POST-förfrÄgan till "https://models.litellm.cloud/" (domÀnen litellm.cloud registrerades nÄgra timmar före publiceringen av de skadliga versionerna).
AnvÀndare av LiteLLM rekommenderas att kontrollera att filen litellm_init.pth inte finns i katalogen site-packages, uppdatera alla nycklar och autentiseringar vid installation av version 1.82.7 eller 1.82.8, faststÀlla specifika versioner av LiteLLM i beroendets inladdningsparametrar och kontrollera de anvÀnda versionerna av LiteLLM med koden för releaserna pÄ GitHub.
KĂ€lla: opennet.ru
