LiteLLM tedarik zinciri saldırısı açığa çıkan ana anahtara dayandırıldı

LiteLLM, 21 Ekim 2026'da başlayan tedarik zinciri saldırısını Mayıs ayında genel bir GitHub deposuna yanlışlıkla işlenen ve hiç iptal edilmeyen bir ana anahtara kadar izledi. Zehirli paket sürümü 1.107.0, 21 Ekim 2026'da PyPI'a ve konteyner kayıt defterlerine yüklendi; bir bilgi hırsızı ve uzaktan erişim truva atı içeriyordu. İki saatten kısa sürede karantinaya alındı, ancak Wiz'e göre yaklaşık 49.000 kez indirildi.

Açığa çıkan anahtar GitHub erişimini açtı

LiteLLM 23 Ekim 2026'da saldırı zincirini ayrıntılandıran bir olay sonrası analiz yayımladı ve zinciri, ana anahtar içeren bir yapılandırma dosyasının genel LiteLLM-Labs/lite-harness deposuna işlendiği 27 Mayıs 2026'ya kadar izledi. Anahtar, LiteLLM'in AI ajanlarını düzenlemek için dahili olarak kullandığı açık kaynak bir araca aitti. Geliştiriciler hatayı hızla fark etti ve açığa çıkan commit'i kaldırdı, ancak ana anahtarı iptal etmedi. 10 Ekim 2026'da tehdit aktörü bu anahtarı LiteLLM Agent Platform'a erişmek için kullandı ve bir GitHub CLI OAuth belirteci çıkardı. Bu, saldırgana LiteLLM'in GitHub'ındaki tüm depolarda sahip düzeyinde erişim sağladı. GitHub CLI belirteçleri post-2fa'dır, yani yüksek etkili depo işlemleri için genellikle gereken GitHub sudo modu kimlik doğrulama akışlarını tetiklemezler. Belirteç, diğer dahili depoların dallarına kötü niyetli commit'ler göndermeye izin verdi; bunlar arasında derleme sırasında erişilebilen belirteçleri ve sırları çalmak için tasarlanmış CI iş akışları da vardı. Bu erişim, bakımcı yetkilerine sahip iki mühendise ait GitHub CLI OAuth belirteçlerinin ve birkaç başka dahili sistemin belirteçlerinin çalınmasını sağladı. Aktörün bu sistemlerdeki etkinliğinin incelenmesi, ek anahtarları ve belirteçleri belirleme ve sızdırma girişimlerini gösterdi; asıl odak upstream inference API belirteçleriydi.

Zehirlenmiş paket kimlik bilgilerini çaldı

1.107.0 sürümü, enfekte makinelerde rastgele kod çalıştırabilen bir bilgi hırsızı ve bir uzaktan erişim truva atı içeriyordu. Bilgi hırsızları, Chrome, Firefox, Edge ve Safari'den tarayıcı kimlik bilgilerini ve çerezleri, ayrıca AWS kimlik bilgilerini, Google Cloud Platform hizmet hesabı anahtarlarını ve uygulama varsayılan kimlik bilgilerini ve Microsoft Azure belirteçlerini toplamak üzere tasarlanmıştı. OpenAI, Anthropic, Cohere ve diğer LLM sağlayıcıları için API anahtarlarını da çaldılar. 1.107.0 sürümünü kurup çalıştırdıysanız, etkilenen sistemden erişilebilen herhangi bir kimlik bilgisinin çalınmış olabileceğini varsayın.

Yanıt ve öneriler

LiteLLM geliştiricileri, her dahili sistem ve her tedarikçi platformuyla ilişkili tüm belirteçleri iptal ediyor. Olayın, potansiyel olarak açığa çıkmış bir anahtarın değiştirilmemesiyle ilişkili risklerin güçlü bir örneği olduğunu yazdılar. 1.107.0 sürümünü çalıştıran herkes etkilenen sistemleri incelemeli, parolaları değiştirmeli ve açığa çıkmış anahtarları değiştirmelidir.

Kaynaklar: The Register