LiteLLM : une compromission de la chaîne d’approvisionnement expose les secrets de 434 000 pipelines CI/CD

Des paquets malveillants publiés sur PyPI

CloudSEK et Hudson Rock ont révélé mardi et mercredi une compromission de la chaîne d’approvisionnement de LiteLLM, un outil open source destiné au développement d’applications basées sur l’intelligence artificielle.

L’attaque a touché les versions 1.82.7 et 1.82.8, distribuées depuis la page officielle du projet sur le Python Package Index (PyPI). Pendant une fenêtre de 40 minutes en mars, les utilisateurs ayant installé ces paquets ont potentiellement exposé les secrets présents dans leur environnement d’exécution.

Le code malveillant lisait la mémoire des systèmes infectés, en extrayait le contenu, puis transférait les données via un canal contrôlé par l’attaquant. Aucun identifiant CVE ni score CVSS n’a été communiqué.

Des identifiants volés dans des pipelines et des environnements cloud

L’analyse de Hudson Rock a retrouvé les données dans un fichier de 195 To, dont l’origine n’a pas été attribuée. Ces informations concerneraient environ 434 000 pipelines CI/CD ayant exécuté les versions compromises.

Selon les estimations, ces données pourraient permettre d’accéder à plus de 2 500 organisations. Les secrets collectés comprennent notamment :

• des clés cloud et des identifiants Microsoft Azure ;
• des jetons d’accès aux dépôts et des clés SSH ;
• des secrets Kubernetes ;
• des identifiants servant à publier des paquets ;
• des variables d’environnement ;
• des clés de fournisseurs d’IA ;
• des mots de passe de bases de données ;
• des clés API de services tiers.

Des identifiants tels que SALESFORCE_CLIENT_SECRET et SLACK_SIGNING_SECRET ont également été observés.

Les identifiants peuvent toujours être actifs. De plus, nombre d’entre eux ne contiennent ni domaine, ni nom d’hôte, ni autre élément permettant d’identifier immédiatement l’organisation concernée. Une adresse @siriusxm.com, par exemple, a été associée à l’infrastructure de la filiale AdsWizz et ne constitue pas, à elle seule, la preuve d’une compromission directe de SiriusXM.

Une attaque liée à Trivy, KICS et Telnyx

L’incident visant LiteLLM est lié à une précédente attaque contre la chaîne d’approvisionnement de Trivy, un scanner de vulnérabilités. La même campagne a également ciblé KICS et le Telnyx Python SDK.

Le groupe TeamPCP, décrit comme composé en grande partie d’adolescents, mais disposant de capacités opérationnelles élevées, a revendiqué l’opération. Les chercheurs ont jugé cette revendication largement crédible, tandis que le chercheur indépendant Kevin Beaumont a vérifié l’authenticité des données concernant plusieurs organisations.

Parmi les entreprises pour lesquelles la probabilité d’exposition a été jugée élevée figurent Nvidia, AWS, Samsung, Salesforce, Cisco, Roche, ServiceNow, Siemens, S&P Global, Airbus US Space & Defense, John Deere, Regeneron, LSEG, Thomson Reuters, FedEx, Volkswagen, Deloitte, Thales, X, Zscaler, Epic Games, Orange, HP, Philips, Vodafone, Deutsche Bahn, BT et NGINX.

Mesures à prendre par les organisations

Les organisations ayant utilisé LiteLLM doivent vérifier immédiatement la présence des versions 1.82.7 et 1.82.8, notamment dans les environnements en aval, les proxys d’IA et les outils intégrés aux pipelines CI/CD.

Tout secret accessible au paquet pendant la période de l’attaque doit être considéré comme compromis. Il convient donc de :

1. révoquer et régénérer les clés cloud, les jetons, les clés SSH et les secrets Kubernetes ;
2. changer les mots de passe des bases de données et les clés API ;
3. remplacer les identifiants de publication et les variables d’environnement ;
4. analyser les journaux, les pipelines, les dépôts et les environnements cloud ;
5. rechercher les accès inhabituels et les éventuels canaux d’exfiltration ;
6. vérifier l’existence d’abus sur les plateformes SaaS, les infrastructures d’IA et les systèmes de build.

L’exposition ne concerne pas uniquement les organisations identifiables dans le dump : les données dépourvues d’identifiants d’entreprise peuvent appartenir à de nombreuses autres entités.