LiteLLM 1.107.0 공급망 침해, 미회수 키가 조직 오너 토큰 탈취로 연결

원문 기반 한국어 요약

LiteLLM은 10월 21일 릴리스 파이프라인이 침해돼 PyPI와 컨테이너 레지스트리에 악성 1.107.0 아티팩트가 게시됐다고 밝혔다. 악성 빌드에는 자격증명 탈취와 원격 코드 실행 도구 로더가 포함됐다. 사고는 격리됐다. [1]

PyPI의 litellm 1.107.0 일곱 개 wheel은 11:39:51~13:23 UTC에 노출됐다. Docker Hub의 v1.107.0, latest, main-latest, main-stable 태그는 11:46:56~14:20 UTC에 악성 이미지 인덱스를 가리켰고, GHCR의 같은 계열 태그도 11:46:56 UTC부터 13:51 UTC 이전까지 영향을 받았다. 해당 아티팩트는 모두 제거되거나 검증된 소스로 다시 연결됐다. [1]

공식 GitHub의 v1.107.0 소스 태그 자체에는 악성 파일이 없었고, 게시된 아티팩트는 공격자가 제어한 유사 이름 저장소 Berri-AI/litellm에서 빌드됐다. 이전 버전과 비공개 Enterprise 레지스트리는 이번 사고의 영향을 받지 않았다. [1][2]

10월 23일 공개된 최종 조사에 따르면 5월 27일 공개 LiteLLM-Labs/lite-harness 저장소에 Agent Platform 마스터 키가 포함된 설정 파일이 올라왔다. LiteLLM은 노출 키의 폐기 필요성을 식별했지만 해당 마스터 키를 폐기하지 않았다. [2]

공격자는 10월 10일 이 마스터 키로 Agent Platform API에 접근해 범위가 제한되지 않은 GitHub 조직 오너의 CLI OAuth 토큰을 얻었다. 이어 내부 저장소의 임시 워크플로를 실행해 유지관리자 두 명의 GitHub CLI 토큰 등 추가 비밀을 외부로 전송했다. [2]

10월 21일 공격자는 오너 토큰으로 비공개 릴리스 저장소의 브랜치 보호를 해제하고 빌드 원본을 유사 이름 저장소로 바꿨다. 두 번째 유지관리자 토큰으로 생산 승인 관문을 통과해 공식 파이프라인이 악성 1.107.0을 서명·배포하게 했고, 세 번째 토큰으로 워크플로 실행 기록을 삭제했다. [2]

영향 시간대에 1.107.0을 설치하거나 해당 컨테이너를 실행한 환경은 침해된 것으로 간주해야 한다. LiteLLM은 관련 파일·프로세스를 제거한 뒤 1.106.2로 고정하거나 환경을 재구축하고, 호스트가 접근할 수 있던 클라우드·LLM 공급자·데이터베이스·환경변수 자격증명을 교체하라고 권고했다. [1]

LiteLLM은 공개 레지스트리를 잠그고 GitHub 조직 구성원을 대부분 제거했으며, 내부·외부 서비스의 모든 토큰이 유출됐을 가능성을 전제로 폐기 작업을 진행했다고 밝혔다. 재발 방지 절차 변경의 상세 내용은 다음 주 공개할 예정이라고 구분했다. [2]

근거: 아래 출처 [1] · [2] · 원문 전체 번역이 아닌 핵심 내용의 번역·요약