يثبّت إصدار LiteLLM 1.107.0 المخترق على PyPI برنامجًا لسرقة بيانات الاعتماد وبابًا خلفيًا لتنفيذ الشيفرة عن بُعد. تثبّت جميع العجلات السبع للإصدار، التي تغطي Linux وmacOS وWindows، ثلاثة ملفات داخل site-packages. يعمل اثنان منها كلما بدأت أي عملية Python على المضيف، حتى تلك التي لا تستورد litellm أبدًا. لا يحتوي مصدر GitHub الأصلي على هذه الملفات، وقد أزالت PyPI الإصدار منذ ذلك الحين. الإصداران 1.106.2 و1.107.0rc1 و1.107.0rc2 سليمة، وكذلك الحزمتان المرافقتان litellm-proxy-extras==0.4.110 وlitellm-enterprise==0.1.78.
يجمع برنامج السرقة cook.py مفاتيح SSH وبيانات اعتماد السحابة وأسرار CI/CD ورموز أدوات الذكاء الاصطناعي وكلمات مرور المتصفح ومفاتيح مزودي نماذج اللغة المخزنة في قاعدة بيانات وكيل LiteLLM. ويشفّر البيانات ويرسلها إلى www.litellm[.]dev. أما الملف الثاني، sitecustomize.py، فيشغّل خدمة خلفية تعمل كل ساعة. تقرأ هذه الخدمة عنوان خادم من ملف على GitHub، وتعيد تشغيل برنامج السرقة، وتنزّل من ذلك الخادم شيفرة وتنفذها.
دخلت الأداة الخبيثة عبر سطر واحد أُضيف إلى إعدادات البناء لتوزيعة المصدر 1.107.0. يقوم هذا السطر بنسخ مجلد مخفي داخل العجلة، والمجلد غير موجود في توزيعة المصدر. كما أن الإصدار لا يطابق وسمه v1.107.0، ولم تُنفَّذ أي عملية عامة في GitHub Actions لبنائه أو نشره. تقدّر Safe Dep بثقة متوسطة إلى عالية أن خط نشر Berri AI الخاص قام ببناء العجلات من مصدر عدّله المهاجم. ولا يمكن التحقق من كيفية حدوث الاختراق إلا من سجلات خط النشر لدى الشركة.
المصدر: Hacker News · لخّصه HeadlinesBriefing