LiteLLM: שתי גרסאות ב-PyPI הכילו נוזקה שגונבת מפתחות וסיסמאות, לפי החברה
ב-24 במרץ 2026 עלו ל-PyPI הגרסאות 1.82.7 ו-1.82.8 של LiteLLM עם קוד שאוסף סודות. LiteLLM מקשרת את התקרית לפריצה ל-Trivy, ו-PyPI הסגירה את החבילות כעבור כ-40 דקות.
TL;DR בקצרה
- לפי LiteLLM, הגרסאות 1.82.7 ו-1.82.8 עלו ל-PyPI ב-24 במרץ 2026 עם קוד שאוסף מפתחות, סיסמאות וטוקנים.
- PyPI הסגירה את החבילות כעבור כ-40 דקות, וההתקנה הייתה אפשרית בין 10:39 ל-16:00 לפי שעון UTC.
- LiteLLM מעריכה שהפריצה קשורה לפריצה ל-Trivy, כלי הסריקה שרץ בתהליך הבנייה שלה. החקירה נמשכת.
- ב-30 במרץ 2026 יצאה גרסה נקייה, 1.83.0, והחברה ממליצה להחליף כל סוד שהיה על מכונה שהתקינה את הגרסאות הפרוצות.
שתי גרסאות זדוניות של LiteLLM, 1.82.7 ו-1.82.8, עלו ל-PyPI ב-24 במרץ 2026. לפי הודעת האבטחה של החברה, הן הכילו נוזקה שאוספת סודות ממחשבי מפתחים. PyPI שמה אותן בהסגר כעבור כ-40 דקות. לפי Help Net Security, מאחורי המתקפה עומדת הקבוצה TeamPCP.
LiteLLM ב-PyPI: מה קרה ב-24 במרץ
PyPI הוא המאגר המרכזי של חבילות פייתון. מפתחים מתקינים ממנו ספריות בפקודה אחת, ולכן חבילה פרוצה מגיעה מהר להרבה מחשבים.
לפי Sonatype, LiteLLM יושבת בין אפליקציות לספקי AI. לכן היא מחזיקה לעיתים קרובות מפתחות API ומשתני סביבה. תוקף שחודר אליה מקבל גישה לדברים רגישים במיוחד.
החבילות הופיעו ב-PyPI ב-10:39 לפי שעון UTC. LiteLLM מעריכה שבין 10:39 ל-16:00 אפשר היה להתקין אותן דרך pip. Callum McMahon, חוקר מ-FutureSearch, היה הראשון שהתריע. לפי Help Net Security, הנוזקה גרמה לבעיות במחשב שלו.
מה הנוזקה ב-LiteLLM עושה
בגרסה 1.82.7 הקוד הזדוני מסתתר בקובץ proxy_server.py. בגרסה 1.82.8 יש גם הקובץ litellm_init.pth. קבצי pth יכולים להריץ קוד בכל הפעלה של פייתון, גם אם לא ייבאתם את הספרייה.
הנוזקה אוספת משתני סביבה ומפתחות SSH. היא אוספת גם פרטי גישה ל-AWS, ל-GCP ול-Azure. בנוסף היא לוקחת טוקנים של Kubernetes וסיסמאות למסדי נתונים. אחר כך היא מצפינה את הנתונים ושולחת אותם לכתובת models.litellm.cloud. לפי LiteLLM, זה לא דומיין רשמי שלה.
איך התוקפים הגיעו לפרסום ב-PyPI
לפי LiteLLM, התוקפים עקפו את תהליך הפרסום הרשמי והעלו חבילות ישירות ל-PyPI. הראיות כרגע מרמזות שתוקפים השתלטו על חשבון PyPI של אחד המתחזקים. החברה מציינת שהחקירה נמשכת.
היא חושדת בקשר ל-Trivy, כלי סריקה שרץ בתהליך הבנייה שלה. ב-19 במרץ פרצה TeamPCP ל-Trivy של Aqua Security. לפי Help Net Security, היא פרצה ב-23 במרץ גם לתוספים ול-GitHub Actions של Checkmarx. Aqua אמרה שהחלפת הסיסמאות אחרי התקרית הראשונה לא הייתה אטומית. כלומר, לא כל המפתחות בוטלו בבת אחת.
ב-26 במרץ הוסיפה CISA את Trivy לקטלוג החולשות המנוצלות. הרישום מתאר קוד זדוני שתוקפים הטמיעו בכלי.
מי בטוח לפי החברה
LiteLLM אומרת שתמונת ה-Docker הרשמית של ה-Proxy בטוחה. התמונה מצמידה גרסאות של תלויות בקובץ requirements.txt, ולכן לא משתמשת בחבילות הפרוצות. לדבריה, גם LiteLLM Cloud והתקנה ישירה ממקור ב-GitHub אינן חשופות. אותו דבר נכון למי שנשאר על גרסה 1.82.6 או ישנה, ולא שדרג בחלון הזמן.
מה קרה מאז: ב-26 במרץ הוסיפה LiteLLM את checkmarx.zone לרשימת האינדיקטורים. ב-27 במרץ היא פרסמה סיכומי SHA-256 לגרסאות שנבדקו. ב-30 במרץ יצאה גרסה נקייה, 1.83.0, מתהליך בנייה חדש.
מה זה אומר עבורכם
- בדקו גרסאות: חפשו את 1.82.7 ואת 1.82.8 בסביבות פיתוח, ב-CI, בבניות Docker וביומני הפריסה.
- חפשו את הקובץ: בדקו אם litellm_init.pth קיים ב-site-packages. אם כן, מחקו אותו וחקרו את המחשב.
- החליפו סודות: החליפו כל סוד שהיה על מכונה שהתקינה את הגרסאות. זה כולל מפתחות API, מפתחות ענן, מפתחות SSH, טוקנים של Kubernetes וסיסמאות למסדי נתונים.
- בדקו תעבורה יוצאת: חפשו פניות לכתובות models.litellm.cloud ו-checkmarx.zone.
- הצמידו גרסאות: השתמשו ב-1.82.6 או בגרסה ישנה, או ב-1.83.0 ואילך. נעלו תלויות עם גיבוב, ולא רק עם מספר גרסה.
מקורות והרחבה
- Security Update: Suspected Supply Chain IncidentLiteLLM
- LiteLLM PyPI packages compromised in expanding TeamPCP supply chain attacksHelp Net Security
- Known Exploited Vulnerabilities Catalog: CVE-2026-33634CISA
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
