LiteLLM 1.107.0'ın PyPI ve Docker sürümleri kimlik bilgisi hırsızı ve arka kapı taşıdı

Büyük dil modeli API'lerine tek noktadan erişim sağlayan yaygın açık kaynak Python geçidi LiteLLM'in zararlı bir sürümü, 21 Ekim 2026'da PyPI'da ve Docker kayıt depolarında yayımlandı. StepSecurity, Socket ve The Hacker News'ün aktardığına göre litellm 1.107.0'ın tüm wheel paketleri ve eşleşen konteyner imajları kimlik bilgisi hırsızı ile uzaktan kod yükleyici içeriyordu. Bu sürümü kuran sistemlerdeki bulut kimlik bilgileri, yapay zekâ sağlayıcısı API anahtarları ve geliştirici sırları risk altında. Socket'e göre LiteLLM haftada yaklaşık 23 milyon kez indiriliyor.

Neler oldu?

StepSecurity'nin aktardığına göre zararlı paketler PyPI'a yaklaşık 11.39 UTC'de yüklendi ve 13.23 UTC'ye kadar, yani yaklaşık 1 saat 45 dakika sonra kaldırıldı. Zararlı Docker imajı 11.48 UTC'de gönderildi; latest, main-latest ve main-stable etiketleri, projeyi geliştiren BerriAI imajları 14.32 UTC'de kaldırana kadar yaklaşık üç saat bu derlemeyi gösterdi. Socket, tarayıcısının yedi paketi yayından yedi dakika sonra işaretlediğini belirtti.

Sürümün nasıl yayımlandığı hâlâ inceleniyor. LiteLLM güvenlik direktörü Oliver Jensen, The Hacker News'e yaptığı açıklamada zararlı işlemlerin üç mühendisin GitHub hesabı üzerinden, büyük olasılıkla çalınmış GitHub CLI OAuth belirteçleriyle yapıldığını söyledi: Hesaplardan biri yayın iş akışını tetiklemiş, diğeri onaylamış. İlgili tüm belirteçler iptal edildi ve proje, etkilenmeyen tek bir kullanıcı dışında herkesi GitHub organizasyonundan çıkardı. StepSecurity ve Socket, derleme kayıtlarında meşru BerriAI yerine Berri-AI adlı benzer bir depo sahibinin göründüğünü, resmi v1.107.0 git etiketinin ise temiz olduğunu belirtiyor.

Teknik detaylar

Araştırmacılara göre paketler site-packages kök dizinine cook.pth, cook.py ve sitecustomize.py adlı üç dosya bırakıyor. .pth dosyaları Python yorumlayıcısı her başladığında çalıştığı için zararlı kod, LiteLLM hiç içe aktarılmasa bile, pip ve CI işleri dahil her Python çalıştırmasında devreye giriyor.

StepSecurity'ye göre privcollect adlı hırsız; tarayıcı parolaları, SSH, GPG ve TLS anahtarları, AWS, Azure, Google Cloud ve Kubernetes kimlik bilgileri, CI sırları, kabuk geçmişi ve yapay zekâ kodlama araçlarının yapılandırma dosyalarını hedefleyen 16 modül çalıştırıyor. DATABASE_URL tanımlıysa LiteLLM proxy veritabanındaki sağlayıcı anahtarlarını ve model ayarlarını da alıyor. Veriler şifrelenerek www.litellm[.]dev/healthcheck adresine gönderiliyor. İkinci bileşen ise GitHub'daki bir işaretçiyi saatte bir kontrol edip /codepy yolundan sunulan Python kodunu çalıştırıyor.

Kimler etkileniyor?

Araştırmacılar PyPI'daki litellm==1.107.0 sürümünü ve ghcr.io/berriai/litellm, litellm-database, litellm-non_root ile docker.io/litellm/litellm imajlarının v1.107.0 etiketlerini, ayrıca zararlı derlemeyi gösterdikleri süre boyunca hareketli etiketleri etkilenen sürümler olarak listeliyor. StepSecurity, önceki 1.106.x sürümlerinin ve 1.107.0 sürüm adaylarının temiz olduğunu bildirdi. BerriAI, kurumsal özel kayıt deposunun etkilenmediğini açıkladı.

Ne yapmalı?

Kilit dosyalarını, önbellekleri ve çalışan konteyner özetlerini 1.107.0 için kontrol edin. Bu sürümün kurulduğu sistemleri ele geçirilmiş kabul edin: /tmp/remote_code_loader.lock dosyasını tutan süreçleri durdurun, üç zararlı dosyayı silin, temiz imajlardan yeniden kurun ve litellm==1.106.2 sürümüne özet değeriyle sabitleyin. Sistemin erişebildiği tüm kimlik bilgilerini, yani bulut anahtarlarını, dil modeli sağlayıcı anahtarlarını, LiteLLM master ve salt anahtarlarını, SSH anahtarlarını ve tarayıcıda kayıtlı parolaları temiz bir ortamdan yenileyin. litellm.dev alan adını engelleyin ve çıkış trafiği kayıtlarında bu adrese ve /codepy yollarına yapılan istekleri arayın.