21:42
0
LiteLLMのサプライチェーン攻撃:マスターキーが136日間露出し、汚染されたリリースを招く
LiteLLMの事後調査によると、実験的なデプロイメントで使用されていたマスターキーが2026年5月27日に誤ってGitHubにコミットされ、失効されないままになっていました。このキーは、攻撃者が10月10日に悪用してGitHub CLIのOAuthトークンを含む機密トークンを窃取し、リポジトリのCIワークフローを改ざんできる状態にするまで、136日間有効でした。 10月21日、攻撃者はLiteLLM Pythonライブラリの汚染されたバージョン1.107.0をPyPIおよびDockerレジストリ経由で公開しました。この悪意あるパッケージは約2時間にわたって公開状態にあり、その間に推定49,000回ダウンロードされました。ペイロードには、認証情報を窃取するコンポーネントと、ライブラリをインポートしなくてもPythonの起動時に自動実行される、リモートコード実行を可能にするバックドアが含まれていました。
もっと