แจ้งเตือน LiteLLM ถูกแฮกบัญชี PyPI คนร้ายวางเวอร์ชันใหม่ฝังโค้ดขโมย API key

แจ้งเตือน LiteLLM ถูกแฮกบัญชี PyPI คนร้ายวางเวอร์ชันใหม่ฝังโค้ดขโมย API key Body LiteLLM แจ้งเตือนผู้ใช้ว่ามีคนร้ายเจาะบัญชี PyPI ได้สำเร็จ และอัปโหลดเวอร์ชัน 1.82.7 และ 1.82.8 เมื่อวันที่ 24 มีนาคมที่ผ่านมา โดยทั้งสองเวอร์ชันฝังโค้ดที่ใช้ขโมย API key ขององค์กรออกไป ระยะเวลาที่คนร้ายสามารถวางเวอร์ชันมุ่งร้ายจนมีการตรวจพบและลบออกไปรวมประมาณ 3 ชั่วโมง LiteLLM เป็น AI API Gateway ที่ได้รับความนิยมสูง หลายองค์กรอาศัยมันเป็นตัวจัดการการใช้งานในองค์กร โดยนำกุญแจกลางขององค์กรมาวางไว้ที่ gateway แล้วให้แอปพลิเคชันต่างๆ ภายในใช้กุญแจของ LiteLLM อีกที ทำให้จัดการงบประมาณได้ง่ายขึ้น รวมถึงสามารถใช้ API กลางแม้จะมีผู้ให้บริการ AI หลายเจ้าก็ตาม คาดว่าคนร้ายจะเจาะบัญชี PyPI ผ่านทางสคริปต์ CI/CD ของ LiteLLM ในขั้นตอนการสแกน Trivy โดยบัญชีที่หลุดไปมีเพียง PyPI เท่านั้น สำหรับผู้ที่ใช้งานผ่าน Docker ไม่ได้รับผลกระทบแต่อย่างใด ตอนนี้แพ็กเกจถูกลบออกจาก PyPI แล้ว รีเซ็ตบัญชีของนักพัฒนาทุกคน และเปลี่ยนกุญแจ API ต่างๆ หลังจากนี้ทาง LiteLLM จะหยุดออกเวอร์ชันใหม่ชั่วคราว รีวิว repository ทั้งหมดใหม่อีกครั้ง และเรียกทีมงาน Mandiant ของกูเกิลเข้ามาตรวจสอบความปลอดภัย ที่มา - LiteLLM , snyk lew Wed, 25/03/2026 - 07:23

Go to News Site