Компания LiteLLM сообщила о серьезной уязвимости, которая была обнаружена в их системе. В пятницу стало известно, что мастер-ключ платформы Agent был случайно опубликован в открытом репозитории на GitHub в конце мая 2026 года. Это позволило злоумышленникам внедрить вредоносную версию популярного Python-пакета.

27 мая 2026 года в публичный репозиторий LiteLLM-Labs/lite-harness был случайно добавлен конфигурационный файл, содержащий мастер-ключ для развертывания. Этот ключ оказался в руках атакующего, который использовал его для подмены оригинального пакета на вредоносный.

Злоумышленники смогли получить доступ к токенам GitHub, что в свою очередь дало им возможность вмешаться в процесс релиза и распространить зараженную версию пакета среди пользователей. Такие действия могут привести к серьезным последствиям, включая компрометацию систем, использующих этот пакет.

LiteLLM уже начала расследование инцидента и призвала разработчиков быть особенно внимательными к безопасности своих конфигурационных файлов. Компания также рекомендует сменить токены доступа и проверить свои системы на наличие возможных уязвимостей.

Данный инцидент подчеркивает важность соблюдения мер безопасности при работе с репозиториями кода и необходимости регулярного аудита конфиденциальной информации. Эксперты по информационной безопасности настоятельно советуют всем разработчикам внимательно следить за тем, какие данные они публикуют в открытом доступе.

LiteLLM продолжает работать над улучшением своих средств защиты и планирует внедрить дополнительные меры безопасности, чтобы предотвратить подобные инциденты в будущем.

Источник новости:
The Hacker News

Читать полностью