Aktualizované: LiteLLM opravil vysvetlenie kompromitácie vydania 1.107.0

LiteLLM kompromitácia vydania 1.107.0 mala podľa novej kanonickej analýzy začať nerevokovaným master key interného LiteLLM Agent Platform. Kľúč bol 27. mája 2026 omylom pridaný do verejného repozitára. Projekt tak opravil skoršiu hypotézu, podľa ktorej útočník získal tokeny z logov verejne dostupného interného nasadenia.

Riziko pre používateľov zostáva vysoké. Škodlivé súbory vo wheel balíkoch sa podľa nezávislej analýzy Microsoftu spúšťali už pri inicializácii Pythonu, bez potreby importovať samotný LiteLLM. Projekt preto odporúča zasiahnuté prostredia neštartovať cez Python ani pip, obnoviť ich z čistých artefaktov a rotovať všetky tajomstvá dostupné kompromitovanému procesu.

LiteLLM kompromitácia vydania sa mala začať zverejneným kľúčom

LiteLLM uvádza, že útočník 10. októbra použil zverejnený master key na získanie GitHub CLI OAuth tokenu vlastníka organizácie. Následne mal cez škodlivé pracovné postupy exfiltrovať tokeny ďalších dvoch maintainerov.

Podľa forenzného zistenia projektu boli tieto poverenia použité na obídenie ochrany vetvy, presmerovanie procesu vydávania na podobne vyzerajúci repozitár Berri-AI/litellm, schválenie produkčného vydania a zmazanie záznamov behov pracovných postupov. Legitímny repozitár používa názov BerriAI/litellm.

Ide o podstatnú zmenu pripisovania prvotného prístupu. LiteLLM už neuvádza verejne dostupné logy interného nasadenia ako pracovnú hypotézu zdroja tokenov, ale opisuje konkrétnu reťaz začínajúcu kľúčom ponechaným vo verejnom repozitári. Celá reťaz prístupu k interným systémom však zatiaľ nemá zverejnené nezávislé forenzné potvrdenie.

Škodlivé wheel balíky boli krátko dostupné na PyPI

Škodlivé artefakty litellm 1.107.0 boli publikované 21. októbra na PyPI aj do kontajnerových registrov. Sedem wheel balíkov bolo na PyPI dostupných približne od 11:39 do 13:23 UTC. Dotknuté Docker tagy boli odstránené alebo presmerované do 14:20 UTC.

Microsoft pri analýze škodlivého kódu identifikoval súbory cook.pth, cook.py a sitecustomize.py. Tieto mechanizmy Python načítava pri štarte, takže škodlivý kód nevyžadoval import knižnice LiteLLM. Microsoft zaznamenal správanie zhodné so zberom poverení, šifrovaním a odosielaním dát na endpoint ovládaný útočníkom.

Microsoft tiež uviedol, že unixový zavádzač mohol sťahovať a spúšťať ďalší Python kód. Konkrétne vykonanie tejto fázy však nebolo potvrdené. Neznámy zostáva aj celkový rozsah úspešnej exfiltrácie z používateľských prostredí a počet zasiahnutých organizácií.

Aktualizácia balíka sama nestačí

Pre organizácie, ktoré spustili dotknuté wheel balíky alebo zasiahnuté kontajnerové tagy, LiteLLM odporúča obnovu prostredia z čistých artefaktov. Samotná aktualizácia balíka neodstráni následky možného spustenia škodlivého kódu ani riziko pre poverenia, ku ktorým mal proces prístup.

• Neštartovať podozrivé prostredie cez Python ani pip.
• Overiť, či sa používal balík litellm 1.107.0 alebo dotknuté kontajnerové tagy.
• Obnoviť zasiahnuté prostredie z dôveryhodných čistých artefaktov.
• Rotovať všetky tajomstvá a poverenia dostupné kompromitovanému procesu.

Prípad zároveň ukazuje rozdiel medzi kontrolou zdrojového archívu alebo Git tagu a obsahom distribuovaného wheel balíka. V tomto incidente sa škodlivý kód dostal do vydaných distribučných balíkov cez zmenený proces vydávania.

Ďalšie zistenia sa môžu týkať nezávislého potvrdenia reťaze kompromitácie, rozsahu ukradnutých interných tajomstiev, prípadov zneužitia poverení u používateľov a nových detekčných pravidiel či zmien procesu vydávania LiteLLM.

Overené a aktualizované: 24. 10. 2026 06:22