LiteLLM 1.107.0 auf PyPI enthielt Credential-Stealer und Backdoor

Lieferkettenangriff auf ein LLM-Gateway

SafeDep hat nachgewiesen, dass das PyPI-Release litellm 1.107.0 Schadcode enthielt. Alle sieben Wheels (Linux, macOS, Windows) installieren drei zusätzliche Dateien in site-packages; der Quellcode auf GitHub enthält sie nicht. PyPI hat das Release inzwischen entfernt.

Wirkung

• cook.pth / cook.py: Wird bei jedem Python-Start geladen, auch wenn litellm nie importiert wird. Sammelt SSH-Keys, Cloud- und CI/CD-Zugangsdaten, KI-Tokens, Browser-Passwörter und die Provider-Keys einer LiteLLM-Proxy-Datenbank und schickt sie verschlüsselt an eine fremde Domain.
• sitecustomize.py: Startet einen Hintergrunddienst, der stündlich einen Server aus einer GitHub-Datei liest, den Stealer erneut ausführt und Code nachlädt.

Auffälligkeiten

Im Quell-Archiv fällt nur eine Zeile in der maturin-Konfiguration auf. Der Git-Tag v1.107.0 passt nicht zum Inhalt; keine öffentliche GitHub-Actions-Ausführung hat gebaut, und es gibt keine Provenance-Attestierung. SafeDep vermutet mit mittlerer bis hoher Sicherheit, dass die private Release-Pipeline von BerriAI aus manipuliertem Quellcode gebaut hat.

Sauber sind: 1.106.2, 1.107.0rc1 und 1.107.0rc2. Wer 1.107.0 installiert hatte, sollte alle erreichbaren Secrets rotieren und die Umgebung neu aufsetzen.

Quelle: SafeDep-Analyse