В PyPI опубликовали вредоносную сборку LiteLLM 1.107.0

21 октября 2026 года в PyPI и реестрах контейнеров опубликовали LiteLLM 1.107.0 с вредоносным изменением в упаковке. По имеющимся данным, официальный тег v1.107.0 этих изменений не содержит: вредоносная сборка получена из другой ревизии исходного кода.

Запись конфигурации Maturin копировала каталог cook в site-packages Python и размещала там файлы cook.pth, cook.py и sitecustomize.py, вне пакета LiteLLM. Файл .pth и sitecustomize.py запускаются автоматически. Поэтому запуск Python или таких инструментов, как pip, в затронутой среде может активировать полезную нагрузку, даже если LiteLLM не импортируется.

Начальный компонент полезной нагрузки собирает учётные данные и системные данные с помощью 16 модулей. Один из них, предназначенный для LiteLLM, запрашивает LiteLLM_CredentialsTable и LiteLLM_ProxyModelTable, чтобы получить сохранённые ключи провайдеров и конфигурацию моделей. Собранные данные шифруются с помощью AES-256-CBC, а ключ шифрования оборачивается встроенным открытым ключом RSA с использованием OAEP и SHA-256. Архив, сжатый алгоритмом gzip, отправляется на www.litellm.dev/healthcheck. Запросы содержат жёстко заданный токен и контрольную сумму тела запроса.

Отдельный загрузчик в sitecustomize.py может получать и выполнять удалённый код без проверки подписи или хеша. Его изменяемый указатель позволяет перенаправлять загрузчик или активировать его независимо от публикации нового пакета.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.