מתקפת שרשרת האספקה של LiteLLM יוחסה למפתח מאסטר שנחשף

LiteLLM ייחסה את מתקפת שרשרת האספקה מ-21 באוקטובר 2026 למפתח מאסטר שהוכנס בטעות לרפוזיטורי ציבורי ב-GitHub במאי ומעולם לא בוטל. גרסה 1.107.0 המורעלת של החבילה הועלתה ל-PyPI ולרישומים של מכולות ב-21 באוקטובר 2026, והכילה גונב מידע וסוס טרויאני לגישה מרחוק. היא הוכנסה לסגר בתוך פחות משעתיים, אך משכה כ-49,000 הורדות, לפי Wiz.

המפתח החשוף פתח גישה ל-GitHub

ב-23 באוקטובר 2026 פרסמה LiteLLM ניתוח לאחר האירוע שתיאר את שרשרת המתקפה ואיתר אותה עד 27 במאי 2026, אז הוכנס קובץ תצורה שהכיל מפתח מאסטר לרפוזיטורי הציבורי LiteLLM-Labs/lite-harness. המפתח השתייך לכלי קוד פתוח שבו משתמשת LiteLLM באופן פנימי כדי לתזמר סוכני AI. המפתחים הבחינו בטעות במהירות והסירו את הקומיט החשוף, אך לא ביטלו את מפתח המאסטר. ב-10 באוקטובר 2026 השתמש שחקן האיום במפתח הזה כדי להגיע ל-LiteLLM Agent Platform וחילץ טוקן GitHub CLI OAuth, שהעניק לו גישה ברמת בעלים לכל הרפוזיטוריות ב-GitHub של LiteLLM. טוקנים של GitHub CLI הם post-2fa, כלומר הם אינם מפעילים את תהליכי האימות של מצב sudo ב-GitHub, שנדרשים בדרך כלל לפעולות בעלות השפעה גבוהה על רפוזיטוריות. הטוקן איפשר ביצוע קומיטים זדוניים בענפים של רפוזיטוריות פנימיות אחרות, כולל תהליכי CI שנועדו לגנוב טוקנים וסודות הזמינים בזמן הבנייה. הגישה הזו הניבה בתורה טוקני GitHub CLI OAuth של שני מהנדסים עם הרשאות מיינטיינר, וכן טוקנים של כמה מערכות פנימיות נוספות. בחינת פעילות התוקף במערכות האלה הראתה ניסיונות לזהות ולהוציא מפתחות וטוקנים נוספים, בדגש עיקרי על טוקני API של הסקה אצל ספקי המודלים במעלה הזרם.

החבילה המורעלת גנבה אישורים

גרסה 1.107.0 הכילה גונב מידע וסוס טרויאני לגישה מרחוק שיכלו להריץ קוד שרירותי על מכונות נגועות. גונבי המידע נועדו לאסוף אישורי דפדפן ועוגיות מ-Chrome, Firefox, Edge ו-Safari, וכן אישורי AWS, מפתחות חשבון שירות של Google Cloud Platform ואישורי ברירת מחדל של היישום, וטוקנים של Microsoft Azure. הם גנבו גם מפתחות API של OpenAI, Anthropic, Cohere וספקי LLM אחרים. מי שהתקין והריץ את גרסה 1.107.0 צריך להניח שכל אישור שהיה נגיש למערכת שנפגעה עשוי היה להיגנב.

תגובה והמלצות

מפתחי LiteLLM מבטלים כל טוקן שמקושר לכל מערכת פנימית ולכל פלטפורמת ספק. הם כתבו שהאירוע המחיש היטב את הסיכונים הכרוכים באי-החלפה של מפתח שעלול היה להיחשף. מי שהריץ את גרסה 1.107.0 צריך לבדוק את המערכות שנפגעו, להחליף סיסמאות ולבצע רוטציה במפתחות שנחשפו.

מקורות: The Register