LiteLLM раскрыл цепочку компрометации вредоносного релиза 1.107.0
Проект LiteLLM 23 октября опубликовал канонический разбор компрометации релиза 1.107.0. Это обновление расследования после атаки 21 октября: разработчики уточнили цепочку доступа злоумышленника и отдельно указали, какие выводы из первоначального сообщения оказались неполными. Сведения также включены в бюллетень индийского CERT-In от 23 октября.
По версии проекта, отправной точкой стал мастер-ключ экспериментальной платформы LiteLLM Agent Platform, случайно оставленный в публичном репозитории в мае. Ключ не отозвали. 10 октября злоумышленник использовал его для доступа к платформе и извлёк GitHub OAuth-токен владельца организации. Через него были получены другие токены, включая секреты, позволявшие запускать рабочие процессы и утверждать публикацию.
21 октября атакующий изменил внутренний процесс сборки так, чтобы он использовал похожий репозиторий Berri-AI/litellm вместо официального BerriAI/litellm. В результате в PyPI попали семь колёс litellm==1.107.0, а в Docker Hub и GHCR — скомпрометированные образы. Пакет был доступен с 11:39 до 13:23 UTC, образы — примерно до 14:20 UTC.
Вредоносные файлы cook.pth, cook.py и sitecustomize.py могли запускаться при старте Python. CERT-In указывает на кражу облачных, CI/CD- и AI-инструментальных токенов, а также на возможность загрузки дополнительного кода. LiteLLM удалил артефакты и рекомендует считать затронутые среды скомпрометированными: их следует изолировать, пересобрать из чистых источников и сменить доступные им ключи. Для временного перехода проект называет чистой версию 1.106.2.