LiteLLM, een veelgebruikte open-source AI-gateway die als Python-package en als Docker-image wordt verspreid, vermoedt dat een gelekt GitHub-token de oorzaak is van een kwaadaardige release. Op 21 oktober, rond 04.00 uur Pacific-tijd, pushten aanvallers versie 1.107.0 naar PyPI, Docker Hub en GHCR. LiteLLM maakte het incident een dag later, op 22 oktober, bekend.
Gebruikers die geen vaste versie hadden vastgepind, liepen risico in een beperkt tijdvenster: pip-installaties tussen 11.39 en 13.23 uur UTC, Docker-installaties tussen 11.46 en 14.20 uur UTC. Naast versie 1.107.0 zelf zijn ook de tags latest, main-latest en main-stable op Docker Hub en GHCR besmet geweest.
Volgens LiteLLM kregen de aanvallers toegang tot drie sets GitHub CLI-inloggegevens van ontwikkelaars, waarvan er één workflows kon uitvoeren. Met een token van een eigenaar van de GitHub-organisatie schakelden ze vervolgens de branch protections uit en forceerden ze eigen wijzigingen door. De release zelf liep via een lookalike-repository, “Berri-AI/litellm” in plaats van het echte “BerriAI/litellm”, waardoor de kwaadaardige bestanden alsnog automatisch werden ondertekend en gepubliceerd.
Hoe de aanvallers precies aan de GitHub-tokens kwamen, is nog niet zeker. LiteLLM vermoedt dat Claude Code soms een GitHub CLI OAuth-token in een responsbody opneemt, en dat zulke tokens in de eigen logbestanden terecht kunnen zijn gekomen. Daarnaast trof het bedrijf een onbekend, onschuldig ogend gebruikersaccount aan in een intern systeem dat onbedoeld publiek bereikbaar was.
De kwaadaardige package-versie bevatte twee onderdelen. Een bestand met de naam cook.pth start bij elke Python-opstart automatisch het script cook.py, dat systeem-, browser-, cloud- en AI-tool-gegevens verzamelt en via een HTTP-verzoek afvoert naar litellm[.]dev. Op Linux en macOS installeert de package daarnaast een achterdeur die via een GitHub-repository een extern domein ophaalt en van daaruit een tweede payload downloadt en uitvoert, met een achtergrondproces dat elk uur controleert op nieuwe instructies. Enkele uren na de eerste besmettingen gebruikten de aanvallers gestolen AWS-credentials uit CI-omgevingen om te checken welke AI-modellen beschikbaar waren, een patroon dat past bij het op kosten van anderen draaien van AI-modellen.
LiteLLM adviseert gebruikers versie 1.107.0 direct te verwijderen, getroffen machines te isoleren, te zoeken naar de genoemde bestanden, het domein litellm[.]dev te blokkeren en alle bereikbare credentials te roteren. Systemen waarop de kwaadaardige versie heeft gedraaid, worden het best volledig opnieuw opgebouwd.
Draaide uw organisatie tussen 21 en 22 oktober op een niet-vastgepinde LiteLLM-versie, behandel dan alle secrets die in die omgeving bereikbaar waren als gecompromitteerd en roteer ze zo snel mogelijk.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Gebruikt uw ontwikkelteam LiteLLM of een vergelijkbare AI-gateway? Pin altijd een specifieke, gecontroleerde versie vast in productie en verifieer package-hashes vóór een build.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.