LiteLLM'in iptal edilmemiş ana anahtarı, kötü amaçlı sürümün PyPI ve Docker'a yayılmasına yol açtı

Saldırgan, 27 Mayıs'ta herkese açık bir GitHub deposuna yanlışlıkla eklenen ve iptal edilmeyen ana anahtarla organizasyon sahibinin GitHub token'ını ele geçirdi; 21 Ekim'de kötü amaçlı LiteLLM 1.107.0 sürümü PyPI, Docker Hub ve GHCR'a çıktı.

LiteLLM, Agent Platform için kullanılan bir ana anahtarın 27 Mayıs 2026'da yanlışlıkla herkese açık bir GitHub deposuna eklendiğini ve bu anahtarın iptal edilmediğini açıkladı. Anahtarın iptal edilmesi gerektiği belirlenmiş ancak bu yapılmamıştı.

Saldırgan, 10 Ekim 2026'da bu anahtarı kullanarak bir GitHub CLI OAuth token'ı çıkardı. Token kapsamı daraltılmamış bir organizasyon sahibine aitti ve saldırgana organizasyonun depolarında sahip düzeyinde erişim verdi. Bu erişimle yayın hattı, benzer görünen bir depoya yönlendirildi ve 21 Ekim 2026'da kötü amaçlı LiteLLM 1.107.0 sürümü PyPI, Docker Hub ve GHCR'a yüklendi.

PyPI sürümü karantinaya aldı. Docker etiketleri doğrulanmış temiz imajlara geri döndürüldü. Şirket, iç sistemlerine ve satıcı platformlarına bağlı tüm token'ları yenilemeye başladı. Saldırganın yararlandığı, bir sürümü iki kişinin onaylamasını şart koşan kural da gevşetildi; artık herhangi iki mühendis yayın başlatıp onaylayabiliyor.

Socket, cache.yml adlı bir iş akışı ekleyen iki kötü amaçlı commit buldu. İlki 10 Ekim'de, ikincisi 12 Ekim'de kısa ömürlü dallara yapılmıştı. Bu iş akışları GitHub token'larını ve API anahtarlarını toplamak üzere tasarlanmıştı; 12 Ekim'deki çalışma ise Anthropic, OpenAI ve AWS Bedrock anahtarlarını da kapsayacak şekilde genişletilmişti.