LiteLLM 1.107.0: verificar a exposição a artefatos sem reiniciar o Python comprometido

O que é

Situação em 25 de outubro de 2026. O comunicado de incidente do LiteLLM identifica a versão maliciosa 1.107.0, de 21 de outubro. Consulte novamente esse comunicado e o relatório oficial de causa raiz antes da recuperação. Este relato usa a correção do comunicado datada de 23 de outubro, às 21:50 UTC, o relatório de causa raiz publicado em 23 de outubro e a revisão do OSV registrada em 21 de outubro, às 22:01:01 UTC.

O comunicado do fornecedor informa os seguintes intervalos de distribuição, todos em UTC no dia 21 de outubro: wheels do PyPI, 11:39:51–13:23; Docker Hub, 11:46:56–14:20; GHCR, a partir de 11:46:56, já indisponível às 13:51. As tags dos contêineres eram v1.107.0, latest, main-latest e main-stable. Cópias em cache podem ser executadas mais tarde.

Por que importa

O OSV MAL-2026-2144 descreve roubo de credenciais e um carregador de código remoto ativado na inicialização do Python, sem que uma aplicação importe o LiteLLM. O registro reúne material de incidentes anteriores e descobertas de outubro; use a delimitação dos artefatos afetados feita pelo fornecedor, em vez de interpretar a entrada abrangente de versões do OSV como indicação de que todas as versões são maliciosas.

A investigação oficial substitui a teoria inicial sobre os logs de implantação: uma chave mestra exposta e não revogada permitiu acessar um serviço de agentes separado, que retornou o token do GitHub de um proprietário. Em seguida, identidades roubadas foram usadas para comprometer o processo de lançamento. Por isso, a recuperação do repositório e das contas também é importante, além da substituição do pacote.

Como aplicar

• Isole as máquinas afetadas e suspenda a publicação. Preserve arquivos de lock, registros de instalação, referências de imagens e logs de CI. Registre se cada artefato foi baixado, instalado ou executado; o inventário atual de dependências não permite reconstituir ambientes já removidos.
• Examine uma cópia somente para leitura do sistema de arquivos com ferramentas confiáveis. Por exemplo, find /mnt/evidence -type d -name 'litellm-1.107.0.dist-info' localiza os metadados instalados sem iniciar o interpretador suspeito. Correlacione cook.pth, cook.py e sitecustomize.py com os indicadores do aviso de segurança. Nomes genéricos de arquivos, por si só, não comprovam conteúdo malicioso.
• Em um ambiente de administração confiável, use docker image inspect IMAGE_ID para examinar os metadados preservados das imagens locais. Compare os digests do registro com o comunicado do fornecedor, incluindo a variante correta do GHCR. Uma tag mutável em seu estado atual não comprova o que um contêiner anterior executou; se faltarem metadados de digest do registro, será necessário consultar registros de implantação ou do próprio registro de imagens.
• Não execute pip nem Python no ambiente suspeito. Recrie o ambiente a partir de componentes limpos. A versão fixada pelo fornecedor para a recuperação deste incidente é litellm==1.106.2; somente em um ambiente novo, python3 -m pip install 'litellm==1.106.2' aplica essa fixação. Revise o conjunto completo de dependências e os avisos de segurança atuais antes de reconectar o ambiente.
• Revogue e substitua, a partir de uma máquina limpa, as credenciais que estavam acessíveis: credenciais de publicação e de repositório, acesso à nuvem, senhas de bancos de dados, chaves de provedores e segredos de aplicações. Revise seu uso desde o primeiro momento plausível de exposição. Antes de restabelecer o serviço, compare os artefatos registrados no ambiente substituto com os componentes aprovados para a recuperação.

Armadilhas

Desinstalar um pacote não desfaz o roubo de credenciais nem comprova a remoção de mecanismos de persistência. A ausência de marcadores temporários não comprova segurança. A versão fixada para recuperação trata deste incidente, não de todas as vulnerabilidades sem relação com ele; reavalie essa escolha em vez de tratá-la como uma garantia permanente de segurança.