كشفت LiteLLM، وهي بوابة AI مفتوحة المصدر تحظى بشعبية، عن تفاصيل هجوم معقد على سلسلة الإمداد حدث الأسبوع الماضي. تبين أن الهجوم بدأ بسبب مفتاح رئيسي (master key) تم تسريبه عن طريق الخطأ إلى مستودع GitHub عام في مايو. هذا الخطأ أدى إلى اختراق كبير طال آلاف المستخدمين.
كيف تطور الهجوم؟
في 27 مايو، تم إدراج ملف تهيئة يحتوي على المفتاح الرئيسي في مستودع LiteLLM-Labs/lite-harness العام. على الرغم من اكتشاف المطورين للخطأ وحذف الالتزام (commit) الذي يحتوي على المفتاح، إلا أنهم لم يلغوا صلاحية المفتاح. في 10 أكتوبر، استغل المهاجمون هذا المفتاح للدخول إلى منصة LiteLLM Agent Platform وسرقوا رمز OAuth المميز لـ GitHub CLI.
هذا الرمز المسرّب منح المهاجمين وصولًا بمستوى المالك (owner-level access) إلى جميع مستودعات LiteLLM على GitHub، وهو أمر خطير بشكل خاص لأن رموز GitHub CLI لا تتطلب مصادقة الوضع «sudo» لعمليات المستودعات الحساسة. سمح لهم ذلك بإدخال تعديلات ضارة في فروع المستودعات الداخلية، وسرقة رموز OAuth المميزة لمهندسين يملكون امتيازات صيانة.
في وقت لاحق، قام المهاجمون بتحميل نسخة مخترقة (1.107.0) من LiteLLM إلى PyPI وسجلات الحاويات الخاصة بها. احتوت هذه النسخة على برنامج لسرقة المعلومات (infostealer) وحصان طروادة للوصول عن بُعد (remote access trojan)، مما يمكنهم من تنفيذ تعليمات برمجية عشوائية على الأنظمة المصابة. على الرغم من أن الحزمة الضارة كانت متاحة لأقل من ساعتين، إلا أنها حظيت بنحو 49,000 تنزيل خلال هذه الفترة.
ما هي البيانات التي سُرقت؟
صُممت برامج سرقة المعلومات لجمع كم هائل من البيانات الحساسة. تشمل هذه البيانات بيانات اعتماد المتصفحات وملفات تعريف الارتباط من Chrome، Firefox، Edge، وSafari، بالإضافة إلى بيانات اعتماد AWS، ومفاتيح حسابات خدمة Google Cloud Platform وAzure، ورموز API لمنصات LLM مثل OpenAI، Anthropic، وCohere.
ردًا على ذلك، تعمل LiteLLM على إلغاء صلاحية جميع الرموز المميزة المرتبطة بأنظمتها الداخلية ومنصات الموردين. وأقر المطورون بأن هذه الحادثة توضح المخاطر الكبيرة لعدم تدوير المفاتيح التي يُحتمل أن تكون مكشوفة.
ماذا يعني هذا للمطورين؟
إذا كنت قد قمت بتثبيت وتشغيل الإصدار 1.107.0 من LiteLLM، فيجب عليك افتراض أن أي بيانات اعتماد كانت متاحة للنظام المصاب قد سُرقت. هذا يعني ضرورة التحقيق في الأنظمة المتأثرة، وتغيير جميع كلمات المرور، وتدوير أي مفاتيح مكشوفة فورًا. نرى أن هذه الحادثة تذكير قوي بأهمية مراجعة الأكواد بانتظام وتطبيق مبدأ أقل الامتيازات، خاصة عند التعامل مع مفاتيح الوصول الحساسة في المستودعات العامة.
المصدر: theregister.com