PyPI पर LiteLLM 1.107.0 का एक समझौता किया गया संस्करण एक क्रेडेंशियल चोरी करने वाला प्रोग्राम और रिमोट कोड निष्पादन बैकडोर इंस्टॉल करता है। इस संस्करण के सभी सात wheels, जो Linux, macOS और Windows को कवर करते हैं, site-packages में तीन फ़ाइलें इंस्टॉल करते हैं। इनमें से दो तब चलती हैं जब होस्ट पर कोई भी Python प्रक्रिया शुरू होती है, यहाँ तक कि वह प्रक्रिया भी जो litellm को कभी इम्पोर्ट नहीं करती। upstream GitHub स्रोत में ये फ़ाइलें नहीं हैं, और PyPI ने इसके बाद इस रिलीज़ को हटा दिया है। संस्करण 1.106.2, 1.107.0rc1 और 1.107.0rc2 साफ़ हैं, जैसे कि सहयोगी पैकेज litellm-proxy-extras==0.4.110 और litellm-enterprise==0.1.78।
चोरी करने वाला प्रोग्राम, cook.py, SSH keys, cloud credentials, CI/CD secrets, AI tool tokens, browser passwords और LiteLLM proxy database में संग्रहीत LLM provider keys एकत्र करता है। यह डेटा को एन्क्रिप्ट करके www.litellm[.]dev पर भेजता है। एक दूसरी फ़ाइल, sitecustomize.py, एक background daemon शुरू करती है जो हर घंटे चलता है। यह daemon एक GitHub फ़ाइल से सर्वर का पता पढ़ता है, चोरी करने वाले प्रोग्राम को फिर से चलाता है, और उस सर्वर से कोड डाउनलोड करके निष्पादित करता है।
यह implant 1.107.0 source distribution की build configuration में जोड़ी गई एक पंक्ति के माध्यम से आया। वह पंक्ति एक छिपे हुए फ़ोल्डर को wheel में कॉपी करती है, और वह फ़ोल्डर source distribution में मौजूद नहीं है। इस रिलीज़ का उसके tag, v1.107.0, से मिलान नहीं होता, और किसी सार्वजनिक GitHub Actions run ने इसे build या publish नहीं किया। Safe Dep का मध्यम से उच्च विश्वास के साथ आकलन है कि Berri AI की निजी release pipeline ने हमलावर द्वारा संशोधित स्रोत से wheels बनाए। यह केवल कंपनी के pipeline logs से पुष्टि हो सकती है कि समझौता कैसे हुआ।
स्रोत: Hacker News · HeadlinesBriefing द्वारा सारांशित