نشت کلید اصلی؛ نفوذ به زنجیره تأمین LiteLLM و سرقت گسترده توکن‌های حساس

پروژه محبوب LiteLLM اخیراً هدف یک حمله زنجیره تأمین پیچیده قرار گرفته است که منجر به انتشار نسخه‌ای آلوده از این کتابخانه پایتونی در مخازن عمومی شد. ریشه این حادثه به نشت یک «کلید اصلی» (Master Key) در یک مخزن عمومی گیت‌هاب در ماه مه ۲۰۲۶ بازمی‌گردد. با وجود اینکه تیم توسعه‌دهنده متوجه این اشتباه شد و اقدام به حذف آن کرد، اما کلید مذکور به درستی ابطال نشد و همین سهل‌انگاری، راه را برای نفوذ مهاجمان در ماه اکتبر باز گذاشت.

مهاجمان با استفاده از این کلید، به پلتفرم مدیریت عامل‌های LiteLLM دسترسی پیدا کردند و موفق شدند توکن‌های دسترسی گیت‌هاب را سرقت کنند. این دسترسی به آن‌ها اجازه داد تا با دور زدن پروتکل‌های امنیتی و تغییر در خط لوله انتشار (Release Pipeline)، نسخه مخرب ۱.۱۰۷.۰ را در PyPI و سایر سرویس‌های توزیع نرم‌افزار منتشر کنند. نکته نگران‌کننده اینجاست که این نسخه آلوده به گونه‌ای طراحی شده بود که حتی بدون فراخوانی مستقیم کتابخانه، به محض اجرای پایتون در محیط آلوده، فعال می‌شد و شروع به سرقت گسترده اطلاعات حساس، از جمله کلیدهای API سرویس‌های ابری و هوش مصنوعی، می‌کرد.

این حادثه زنگ خطری جدی برای امنیت پروژه‌های متن‌باز و سیستم‌های خودکارسازی است. مهاجمان با استفاده از شاخه‌های موقت و حذف سریع ردپای خود، توانستند برای مدتی از دید تیم امنیتی پنهان بمانند و حتی به ابزارهای مدیریت پروژه و پایگاه‌های داده دسترسی پیدا کنند. در حال حاضر، تیم LiteLLM در حال ابطال تمامی توکن‌های داخلی و بازنگری در فرآیندهای امنیتی خود است تا از تکرار چنین فجایعی جلوگیری کند. این واقعه بار دیگر نشان داد که حتی کوچک‌ترین نشت اطلاعات در مخازن کد، می‌تواند به یک بحران امنیتی تمام‌عیار در زنجیره تأمین نرم‌افزار تبدیل شود.

منبع: The Hacker News — مطلب اصلی را اینجا بخوانید