Uma versão comprometida do LiteLLM 1.107.0 no PyPI instala um roubador de credenciais e uma porta dos fundos de execução remota de código. As sete wheels da versão, que cobrem Linux, macOS e Windows, instalam três arquivos no site-packages. Dois deles são executados sempre que qualquer processo Python é iniciado no host, mesmo um que nunca importa o litellm. O código-fonte upstream no GitHub não contém esses arquivos, e o PyPI já removeu a versão. As versões 1.106.2, 1.107.0rc1 e 1.107.0rc2 estão limpas, assim como os pacotes complementares litellm-proxy-extras==0.4.110 e litellm-enterprise==0.1.78.
O roubador, cook.py, coleta chaves SSH, credenciais de nuvem, segredos de CI/CD, tokens de ferramentas de IA, senhas de navegador e chaves de provedores de LLM armazenadas no banco de dados do proxy LiteLLM. Ele criptografa os dados e os envia para www.litellm[.]dev. Um segundo arquivo, sitecustomize.py, inicia um daemon em segundo plano que roda a cada hora. O daemon lê um endereço de servidor de um arquivo no GitHub, executa o roubador novamente e baixa e executa código desse servidor.
O implante entrou por meio de uma única linha adicionada à configuração de build da distribuição de código-fonte 1.107.0. Essa linha copia uma pasta oculta para dentro da wheel, e a pasta não existe na distribuição de código-fonte. A versão também não corresponde à sua tag, v1.107.0, e nenhuma execução pública do GitHub Actions a compilou ou publicou. A Safe Dep avalia, com confiança moderada a alta, que o pipeline privado de lançamento da Berri AI construiu as wheels a partir de um código-fonte modificado pelo atacante. Somente os logs do pipeline da empresa podem confirmar como o comprometimento ocorreu.
Fonte: Hacker News · Resumido por HeadlinesBriefing