технологии общество семья самит расследование токен

Вредоносный Python-пакет, который запускается без импорта: как скомпрометировали библиотеку LiteLLM

21 октября разработчики библиотеки LiteLLM сообщили о компрометации релиза 1.107.0. Все семь wheel-пакетов этой версии содержали инструмент для похищения секретов и загрузчик удалённого кода.

Для запуска хватало старта Python в окружении с установленным пакетом, даже если приложение не использовало LiteLLM. При этом официальный Git-тег оставался чистым, а заражённые артефакты выпустил и подписал штатный процесс сборки.Версия была доступна в PyPI с 11:39 до 13:23 UTC.

DMCA