LiteLLM : une publication compromise expose des identifiants

EElias

D’après le blog de LiteLLM, la chaîne utilisée pour préparer et publier le logiciel a été compromise, puis la version 1.107.0 a été diffusée sur PyPI et dans des images de conteneurs. Cette version contenait un logiciel malveillant conçu pour voler des identifiants et charger des outils permettant l’exécution de code à distance. LiteLLM décrit ces capacités, mais ne confirme pas que des identifiants ont effectivement été dérobés chez des utilisateurs. L’incident porte donc sur une version diffusée par les canaux de publication du projet, et pas simplement sur un faux téléchargement isolé.

EElias

Alors, l’élément important, c’est que l’attaque a visé la chaîne qui prépare et publie les versions. LiteLLM indique que 3 comptes GitHub de développeurs ont été compromis, apparemment au moyen de jetons OAuth de GitHub CLI volés. L’entreprise indique que des comptes compromis ont servi à intervenir dans le processus de publication et à diffuser une version dangereuse. Les jetons concernés ont été révoqués, et LiteLLM a temporairement restreint l’accès à son organisation GitHub. La source officielle de la version sur GitHub ne contenait pas les fichiers malveillants : LiteLLM dit que les artefacts compromis ont été construits à partir d’un dépôt contrôlé par l’attaquant, ce qui distingue le code visible dans le dépôt des paquets effectivement distribués.

EElias

Le périmètre identifié concerne la version 1.107.0. Ils ont été disponibles pendant une fenêtre limitée, de 11 h 39 à 13 h 23, en temps universel coordonné. Côté conteneurs, les tags v1.107.0, latest, main-latest et main-stable ont pointé vers des images compromises sur Docker Hub et le registre de conteneurs de GitHub, appelé G H C R. Ces images ont été exposées de 11 h 46 à 14 h 20, en temps universel coordonné, et LiteLLM affirme avoir retiré les artefacts concernés ou remplacé les images par des versions sûres. L’entreprise précise que les versions antérieures à 1.107.0 sont sûres et que son édition privée Enterprise n’a pas été touchée ; cela ne signifie donc pas que tous les utilisateurs du projet ont été concernés.

EElias

Bon, il faut distinguer la publication d’un paquet malveillant de ses conséquences concrètes chez les utilisateurs. LiteLLM confirme la compromission de sa chaîne de publication, décrit les artefacts concernés et indique que les jetons impliqués ont été révoqués. L’entreprise dit que son enquête se poursuit, mais les éléments publiés ne donnent pas de bilan complet des identifiants éventuellement récupérés ni du nombre de systèmes ayant exécuté le code. Les périodes de disponibilité des paquets et des images permettent de préciser quand ces artefacts ont été accessibles, sans établir à elles seules combien de personnes les ont téléchargés ou utilisés. Le fait que la version source officielle sur GitHub ne contenait pas les fichiers malveillants ne suffit pas à vérifier le contenu d’un paquet déjà installé : le point essentiel est de distinguer le dépôt de code des artefacts compilés et distribués. La suite dépend donc des résultats de l’enquête et de l’identification des installations qui auraient utilisé les versions concernées, éléments que LiteLLM n’a pas encore détaillés.

EElias

LiteLLM affirme que le problème concerne la version 1.107.0 et certaines images portant les tags cités, tandis que les versions antérieures et l’édition privée Enterprise n’ont pas été touchées. L’entreprise dit avoir retiré ou remplacé les artefacts concernés et révoqué les jetons compromis, mais son enquête se poursuit. Pour une équipe, la question concrète est donc de savoir si elle a utilisé cette version ou l’une de ces images pendant la période où elles étaient disponibles. Le seul nom du projet ne permet pas de conclure qu’une installation est concernée ou qu’elle ne l’est pas : ce sont la version réellement utilisée et le type d’artefact qui comptent ici. LiteLLM décrit un incident où des comptes de développeurs compromis ont servi à intervenir dans la publication, ce qui rappelle que la chaîne de diffusion fait partie des éléments à protéger. Il faut retenir à la fois le périmètre précis annoncé par l’entreprise et la limite actuelle de l’information : les artefacts sont identifiés et retirés ou remplacés, mais les conséquences éventuelles chez les utilisateurs ne sont pas encore complètement établies.