LiteLLM Master Key Sızması GitHub Tokenlərinin Oğurlanmasına və Zərərli Paket Buraxılışına Yol Açıb
13rose
2 min read
LiteLLM Master Key Sızması Nəticəsində Zərərli Paket Buraxılışı
Kibertəhlükəsizlik dünyasında tədarük zənciri hücumlarının artdığı bir dövrdə, LiteLLM şirkəti ciddi bir insidentlə üzləşdiyini açıqlayıb. Şirkət, Agent Platform master key-inin təsadüfən ictimai bir GitHub repozitoriyasına yerləşdirilməsi nəticəsində təhlükə aktyorlarının populyar Python paketinin zərərli versiyasını yaydığını bildirib.
İnsidentin Detalları
LiteLLM-in verdiyi məlumata görə, 27 may 2026-cı il tarixində LiteLLM-Labs/lite-harness adlı ictimai GitHub repozitoriyasına göndərilən bir konfiqurasiya faylı, səhvən Agent Platform-un master key-ini ehtiva edirdi. Bu kritik sızma, təhlükə aktyorlarına sistemə icazəsiz giriş əldə etməyə, xüsusən də GitHub tokenlərini ələ keçirməyə imkan yaradıb. Tokenlərin oğurlanması, onlara LiteLLM-in buraxılış prosesini (Release Pipeline) qaçırmağa və orijinal paket əvəzinə zərərli kodu daxil etməyə imkan verib.
Təsir və Nəticələr
Bu cür master key sızmaları, proqram təminatı ekosistemi üçün böyük təhlükə yaradır. Zərərli versiyanın yayımlanması, həmin paketi yükləyən istifadəçilərin sistemlərinin kompromisə uğramasına səbəb ola bilərdi. Təhlükə aktyorları, zərərli Python paketini LiteLLM-in rəsmi buraxılış kanalları vasitəsilə yaymaqla, geniş auditoriyaya çatdırmaq imkanı əldə ediblər.
Kibertəhlükəsizlik Perspektivindən Analiz
Bu insident, inkişaf mühitlərində sirlərin (API keylər, tokenlər, şifrələr) idarə edilməsinin vacibliyini bir daha vurğulayır. Təsadüfi olaraq ictimai repozitoriyalara həssas məlumatların yerləşdirilməsi, təhlükə aktyorları tərəfindən sürətlə istismar edilə bilən ümumi bir zəiflikdir. Şirkətlər, avtomatlaşdırılmış skanlama alətlərindən istifadə etməli və kod bazalarını mütəmadi olaraq sirlərin sızması riskinə qarşı yoxlamalıdırlar. Həmçinin, Release Pipeline təhlükəsizliyinə xüsusi diqqət yetirmək və daxili sistemlərdəki bütün dəyişiklikləri diqqətlə yoxlamaq vacibdir.
LiteLLM, insidenti aşkar etdikdən sonra dərhal müvafiq tədbirlər görərək master key-i etibarsız etmiş və zərərli paketin yayılmasının qarşısını almağa çalışmışdır. Lakin bu hadisə, proqram təminatı təhlükəsizliyində insani səhvlərin nə qədər ciddi nəticələrə səbəb ola biləcəyinin bariz nümunəsidir.
