LiteLLM 再遭供应链攻击，恶意版本 1.107.0 可窃取凭证与密钥

AI 导读

LiteLLM 项目遭遇供应链攻击，恶意版本 1.107.0 可窃取敏感数据，包括云凭证和 SSH 私钥。受影响版本已被移除，慢雾建议用户采取安全措施。

推荐理由

该事件涉及开源项目 LiteLLM 的供应链攻击，对 Web3 领域的安全构成威胁，读者需关注开源项目安全风险。

原文

PANews 10月22日消息，据慢雾（SlowMist）披露，LiteLLM 再次遭遇供应链攻击，恶意版本 [email protected] 波及 PyPI 包及 Docker 镜像，包括 latest、main-stable 等浮动标签。注入的恶意代码会在 Python 启动时自动执行，窃取云凭证、AI API 密钥、SSH 私钥等敏感数据，并支持远程代码执行。受影响版本已被移除或替换。慢雾建议用户避免使用 1.107.0 版本，从干净镜像重建受影响环境，轮换可能泄露的凭证，并将版本固定至 1.106.2。

来源：PANews · panewslab.com