Главный специалист по информационной безопасности компании SlowMist, 23pds: Python-библиотека AI-шлюза LiteLLM подверглась атаке на цепочку поставок PyPI

Главный специалист по информационной безопасности компании SlowMist, 23pds, опубликовал в Twitter сообщение о том, что Python-библиотека AI-шлюза LiteLLM, количество ежемесячных загрузок которой достигает 97 миллионов, подверглась атаке на цепочку поставок PyPI. Злоумышленники могут использовать команду pip install litellm для кражи конфиденциальной информации на устройствах пользователей. К конфиденциальным данным, которые могут быть украдены, относятся: SSH-ключи, учетные данные облачных сервисов (AWS/GCP/Azure), конфигурационные файлы Kubernetes, учетные данные Git, API-ключи, хранящиеся в переменных окружения, история командной строки, информация о криптовалютных кошельках и пароли баз данных.