LiteLLM sufrió un ataque de cadena de suministro tras exponer una clave maestra en GitHub, resultando en el robo de secretos y credenciales de miles de usuarios. Se recomienda a quienes usaron la versión 1.107.0 cambiar sus contraseñas y rotar sus claves inmediatamente.






LiteLLM ha rastreado el ataque a la cadena de suministro de la semana pasada hasta una clave maestra que cometieron accidentalmente en un repositorio público de GitHub en mayo.

La parte del incidente relacionada con el robo de secretos de modelos de IA y la nube comenzó cuando alguien subió una versión envenenada (1.107.0) de la popular pasarela de IA de código abierto a PyPI y a sus registros de contenedores el pasado miércoles. Esta versión comprometida contenía un infostealer y un troyano de acceso remoto capaz de ejecutar código arbitrario en las máquinas infectadas.

Aunque el paquete troyanizado estuvo disponible en PyPI durante menos de dos horas antes de ser puesto en cuarentena, recibió aproximadamente 49,000 descargas durante ese tiempo, según Wiz.

El viernes, LiteLLM detalló la cadena de ataque detrás del lanzamiento comprometido y lo rastreó hasta el 27 de mayo, cuando un archivo de configuración que contenía una clave maestra fue enviado al repositorio público LiteLLM-Labs/lite-harness. La clave pertenecía a una herramienta de código abierto utilizada internamente por LiteLLM para orquestar agentes de IA. Los desarrolladores del proyecto detectaron rápidamente el error y eliminaron el commit expuesto, pero no revocaron la clave maestra.

“El 10 de octubre, el actor de la amenaza utilizó esta clave para obtener acceso a nuestra Plataforma de Agentes LiteLLM y extrajo este token OAuth de GitHub CLI”, según el postmortem del viernes. “A partir de este punto, el actor de la amenaza tuvo acceso de nivel de propietario a todos los repositorios en nuestro GitHub”.

Esto es especialmente grave porque los tokens de GitHub CLI son “post-2fa”, lo que significa que no activan los flujos de autenticación del modo sudo de GitHub que normalmente se requieren para realizar acciones de repositorio de alto impacto.

El token permitió al atacante realizar commits maliciosos en ramas de otros repositorios internos, incluyendo flujos de trabajo diseñados para robar cualquier token y secreto configurado para estar disponible durante el proceso de desarrollo de integración continua. Y esto les permitió robar otros tokens OAuth de GitHub CLI vinculados a dos ingenieros con privilegios de mantenedor.

Además, nos informan que adquirieron tokens para varios otros sistemas internos. “La revisión de la actividad del actor en estos otros sistemas muestra intentos de identificar y exfiltrar claves y tokens adicionales, con un enfoque principal en los tokens de API de inferencia upstream”, señaló LiteLLM.

Habiendo robado ya varias identidades privilegiadas, el malhechor podía realizar cambios en los repositorios de GitHub sin levantar sospechas porque las acciones y aprobaciones parecían provenir de ingenieros legítimos y acreditados.

En respuesta, los desarrolladores de LiteLLM están revocando cada token asociado con cada sistema interno y plataforma de proveedor. “Este incidente ha proporcionado una fuerte ilustración de los riesgos asociados con no rotar una clave potencialmente expuesta”, escribieron.

Los infostealers ocultos dentro del paquete comprometido fueron diseñados para aspirar una gran cantidad de información sensible, incluyendo credenciales de navegador y cookies de Chrome, Firefox, Edge y Safari, junto con credenciales de AWS, claves de cuenta de servicio de Google Cloud Platform y credenciales predeterminadas de aplicaciones, y tokens de Microsoft Azure. También robó claves API de OpenAI, Anthropic, Cohere y otros proveedores de LLM.

Por lo tanto, si instaló y ejecutó la versión 1.107.0, asuma que cualquier credencial accesible para el sistema afectado puede haber sido robada. Investigue los sistemas afectados, cambie las contraseñas y rote las claves expuestas. Una rápida oración al santo patrón de las cadenas de suministro tampoco estaría de más. ®

Fuente:
TheRegister