LiteLLM: Supply-Chain-Kompromittierung legt Geheimnisse aus 434.000 CI/CD-Pipelines offen

Schadsoftware auf PyPI veröffentlicht

CloudSEK und Hudson Rock haben am Dienstag und Mittwoch eine Supply-Chain-Kompromittierung von LiteLLM öffentlich gemacht, einem Open-Source-Tool zur Entwicklung von Anwendungen auf Basis künstlicher Intelligenz.

Der Angriff betraf die Versionen 1.82.7 und 1.82.8, die über die offizielle Projektseite im Python Package Index (PyPI) veröffentlicht wurden. Während eines 40-minütigen Zeitfensters im März könnten Installationen dieser Pakete vorhandene Secrets in der jeweiligen Laufzeitumgebung offengelegt haben.

Der Schadcode las den Speicher infizierter Systeme aus, extrahierte dessen Inhalte und übertrug die Daten über einen vom Angreifer kontrollierten Kanal. Eine CVE-Kennung oder ein CVSS-Score wurde nicht veröffentlicht.

Gestohlene Zugangsdaten aus Pipelines und Cloud-Umgebungen

Die Analyse von Hudson Rock identifizierte die Daten in einer 195 TB großen Datei, deren Herkunft nicht zugeordnet wurde. Die Informationen sollen etwa 434.000 CI/CD-Pipelines betreffen, in denen die kompromittierten Versionen ausgeführt wurden.

Schätzungen zufolge könnten die Daten den Zugriff auf mehr als 2.500 Organisationen ermöglichen. Zu den erfassten Secrets gehören:

• Cloud-Schlüssel und Zugangsdaten für Microsoft Azure;
• Repository-Token und SSH-Schlüssel;
• Kubernetes-Secrets;
• Zugangsdaten zum Veröffentlichen von Paketen;
• Umgebungsvariablen;
• API-Schlüssel von KI-Anbietern;
• Datenbankpasswörter;
• API-Schlüssel von Drittanbieterdiensten.

Beobachtet wurden auch Bezeichnungen wie SALESFORCE_CLIENT_SECRET und SLACK_SIGNING_SECRET.

Die Zugangsdaten könnten weiterhin aktiv sein. Außerdem enthalten viele von ihnen keine Domains, Hostnamen oder anderen Informationen, die eine sofortige Zuordnung zur betroffenen Organisation ermöglichen. Eine Adresse mit @siriusxm.com wurde beispielsweise der Infrastruktur der Tochtergesellschaft AdsWizz zugeordnet und ist für sich genommen kein Beleg für einen direkten Sicherheitsvorfall bei SiriusXM.

Angriff im Zusammenhang mit Trivy, KICS und Telnyx

Der Fall LiteLLM steht im Zusammenhang mit einem früheren Supply-Chain-Angriff auf Trivy, einen Schwachstellen-Scanner. Dieselbe Kampagne betraf auch KICS und das Telnyx Python SDK.

Die Gruppe TeamPCP, die größtenteils aus Jugendlichen bestehen soll, aber über hohe operative Fähigkeiten verfügt, bekannte sich zu der Operation. Die Forscher stuften das Bekennerschreiben weitgehend als glaubwürdig ein. Der unabhängige Sicherheitsforscher Kevin Beaumont bestätigte zudem die Echtheit der Daten mehrerer Organisationen.

Zu den Unternehmen, bei denen mit hoher Wahrscheinlichkeit von einer Offenlegung ausgegangen wird, zählen Nvidia, AWS, Samsung, Salesforce, Cisco, Roche, ServiceNow, Siemens, S&P Global, Airbus US Space & Defense, John Deere, Regeneron, LSEG, Thomson Reuters, FedEx, Volkswagen, Deloitte, Thales, X, Zscaler, Epic Games, Orange, HP, Philips, Vodafone, Deutsche Bahn, BT und NGINX.

Was Organisationen jetzt tun sollten

Organisationen, die LiteLLM eingesetzt haben, sollten umgehend prüfen, ob die Versionen 1.82.7 und 1.82.8 vorhanden sind. Dabei sind auch nachgelagerte Umgebungen, KI-Proxys und in CI/CD-Pipelines integrierte Tools einzubeziehen.

Jedes Secret, auf das das Paket während des Angriffszeitraums zugreifen konnte, muss als kompromittiert betrachtet werden. Daher sollten Organisationen:

1. Cloud-Schlüssel, Token, SSH-Schlüssel und Kubernetes-Secrets widerrufen und neu erstellen;
2. Datenbankpasswörter und API-Schlüssel ändern;
3. Veröffentlichungszugangsdaten und Umgebungsvariablen ersetzen;
4. Logs, Pipelines, Repositories und Cloud-Umgebungen analysieren;
5. ungewöhnliche Zugriffe und mögliche Exfiltrationskanäle suchen;
6. mögliche Missbrauchsfälle auf SaaS-Plattformen, KI-Infrastrukturen und Build-Systemen überprüfen.

Die Offenlegung betrifft nicht nur Organisationen, die im Datenbestand eindeutig erkennbar sind: Daten ohne Unternehmenskennungen können zu zahlreichen weiteren Unternehmen gehören.