Kompromitovana LiteLLM verzija 1.107.0 širila je kradljivac tajni
Maliciozna objava kroz zvanične registre
LiteLLM je 21. oktobra 2026. potvrdio kompromitovanje svog procesa izdavanja, kroz koje je verzija 1.107.0 objavljena na PyPI-ju, Docker Hub-u i GHCR-u. Pogođene su bile PyPI instalacije bez zaključane verzije preuzete između 11.39 i 13.23 UTC, kao i Docker slike označene sa v1.107.0, latest, main-latest i main-stable, korišćene između 11.46 i 14.20 UTC.
Objavljeni paket sadržao je kradljivac kredencijala i mehanizam za izvršavanje udaljenog koda. To znači da je kompromitovani artefakt dolazio iz uobičajenih kanala distribucije, a ne sa nepoznatog izvora, što incident čini posebno značajnim za automatizovane build i deployment tokove.
Kako je radio maliciozni kod
Python je obrađivao datoteku cook.pth, koja je učitavala skriptu cook.py. Ona je pokretala rutinu privcollect za prikupljanje sistemskih, pregledačkih, razvojnih, cloud i AI tajni, a podatke je slala HTTP POST zahtevom na domen litellm[.]dev/healthcheck.
Na Linux i macOS sistemima pokušavalo se i izvršavanje datoteke sitecustomize.py. Taj deo je preuzimao adresu komandno-kontrolnog servera iz GitHub repozitorijuma i, ako je dobijao važeći odgovor, učitavao drugu Python skriptu sa putanje /codepy. Pozadinski proces je bio podešen da taj postupak ponavlja na svakih sat vremena.
Wiz je naveo da je reč o prvom dokumentovanom slučaju u kojem se istovremeno koriste .pth datoteke i sitecustomize.py za ovu namenu. Istraživači su takođe registrovali korišćenje ukradenih AWS kredencijala približno četiri i po sata nakon eksfiltracije, uključujući pozive sts:GetCallerIdentity, bedrock:ListFoundationModels i ListModels.
Sumnja na tokene iz logova
LiteLLM je prethodno pooštrio proces objave nakon incidenta iz marta: izdanja su premeštena u privatni repozitorijum, Docker oznake su postale nepromenljive, a slike su potpisivane. Ipak, privremeno proširenje ovlašćenja za dvoje internih inženjera otvorilo je mogućnost da napadač, koristeći tri skupa GitHub CLI kredencijala, promeni zaštitu grana i pokrene kompromitovani workflow.
Workflow je usmeren na imitatorski repozitorijum Berri-AI/litellm umesto BerriAI/litellm, pa su maliciozni artefakti potpisani i objavljeni. LiteLLM je saopštio da Claude Code u određenim okolnostima može uključiti GitHub CLI OAuth token u telo odgovora, a token se zatim može naći u logovima ako se telo odgovora beleži.
Održavaoci su pronašli i neočekivan korisnički nalog u internoj LiteLLM instalaciji koja je bila izložena javnom internetu. Pretpostavlja se da je napadač tako došao do logova i tokena, ali način na koji je instalacija postala javno dostupna i put pristupa još nisu potvrđeni.
Koraci za pogođena okruženja
LiteLLM preporučuje uklanjanje verzije 1.107.0, izolovanje sistema na kojima je bila instalirana, potragu za malicioznim Python artefaktima, blokiranje domena za eksfiltraciju, rotaciju svih kredencijala i proveru izvršavanja putanje /codepy. Organizacije treba da utvrde ne samo sadržaj izvornog repozitorijuma već i tačnu verziju paketa ili slike koja je stvarno ušla u build, jer jedan kompromitovan instalacioni artefakt može ugroziti kredencijale dostupne u tom okruženju.