LiteLLM 1.107.0: как выяснить, затронули ли систему вредоносные артефакты, без повторного запуска скомпрометированного Python

Что это

Состояние на 25 октября 2026 года. В уведомлении LiteLLM об инциденте вредоносным назван релиз 1.107.0 от 21 октября. Перед восстановлением повторно изучите это уведомление и основной отчёт о первопричине. В этом описании учтены исправление уведомления от 23 октября, 21:50 UTC, отчёт о первопричине, опубликованный 23 октября, и редакция записи OSV с отметкой времени 21 октября, 22:01:01 UTC.

В уведомлении разработчика указаны следующие периоды распространения — все 21 октября, по UTC: wheel-пакеты на PyPI — 11:39:51–13:23; Docker Hub — 11:46:56–14:20; GHCR — с 11:46:56, причём к 13:51 артефакты уже были недоступны. Образы контейнеров имели теги v1.107.0, latest, main-latest и main-stable. Сохранённые в кэше копии могут выполниться и позднее.

Почему это важно

OSV MAL-2026-2144 описывает кражу учётных данных и загрузчик удалённого кода, который активируется при запуске Python, даже если приложение не импортирует LiteLLM. Эта запись объединяет ранние материалы об инциденте с октябрьскими результатами расследования; определяйте затронутые артефакты по сведениям разработчика, а не считайте все релизы вредоносными из-за широкого охвата версий в записи OSV.

В основном расследовании первоначальная версия, связанная с журналами развёртывания, заменена новым объяснением: раскрытый и не отозванный мастер-ключ позволил получить доступ к отдельному сервису агентов, который вернул GitHub-токен одного из владельцев. Затем с помощью украденных учётных данных был скомпрометирован процесс выпуска. Поэтому наряду с заменой пакета необходимо восстановить безопасность репозитория и учётных записей.

Как применять

• Изолируйте затронутые машины и приостановите публикацию. Сохраните lock-файлы, записи об установках, ссылки на образы и журналы CI. Зафиксируйте, был ли артефакт скачан, установлен или выполнен; текущий список зависимостей не позволяет восстановить состав удалённых окружений.
• Исследуйте копию файловой системы, доступную только для чтения, с помощью доверенных инструментов. Например, find /mnt/evidence -type d -name 'litellm-1.107.0.dist-info' находит метаданные установленного пакета без запуска подозрительного интерпретатора. Сопоставьте cook.pth, cook.py и sitecustomize.py с индикаторами из бюллетеня. Одни лишь распространённые имена файлов не доказывают, что их содержимое вредоносно.
• Из доверенной среды администрирования выполните docker image inspect IMAGE_ID, чтобы изучить сохранённые метаданные локального образа. Сравните дайджесты из реестра с уведомлением разработчика, учитывая нужный вариант GHCR. Текущее значение изменяемого тега не доказывает, какой образ использовал контейнер ранее; если метаданные с дайджестом из реестра отсутствуют, потребуются записи о развёртывании или данные реестра.
• Не запускайте pip или Python в подозрительном окружении. Пересоздайте его из чистых исходных компонентов. Для восстановления после этого конкретного инцидента разработчик предписывает закрепить litellm==1.106.2; команда python3 -m pip install 'litellm==1.106.2' устанавливает эту версию и допустима только в новом окружении. Прежде чем возвращать его в сеть, проверьте полный набор зависимостей и актуальные бюллетени.
• С чистой машины отзовите и замените учётные данные, доступные скомпрометированной системе: данные для публикации и доступа к репозиториям, облачным ресурсам, пароли баз данных, ключи провайдеров и секреты приложения. Проверьте их использование начиная с самого раннего возможного момента раскрытия. Перед восстановлением работы сервиса сравните зафиксированные артефакты нового окружения с компонентами, одобренными для восстановления.

Подводные камни

Удаление пакета не устраняет последствия кражи учётных данных и не доказывает, что механизмы закрепления удалены. Отсутствие временных маркеров не подтверждает безопасность. Закреплённая для восстановления версия относится к этому инциденту, а не ко всем посторонним уязвимостям; проверяйте её актуальность, не считая постоянной гарантией безопасности.