중요팁X
PyPI 악성 LiteLLM 패키지, import 안 해도 비밀번호·키 탈취
.pth 파일로 파이썬 실행 시마다 작동. GitHub(깃허브) 깨끗해도 배포본 변조 가능, 해시 검증·버전 고정 필수.
요약
Python 패키지 인덱스(PyPI)에 배포된 LiteLLM의 악성 버전이 개발자 PC의 비밀번호와 API 키를 탈취하는 사고가 발생했다. 공격자는 소스 코드에는 없는 코드를 빌드 과정에서 강제로 삽입했으며, 특히 `.pth` 파일을 악용해 별도의 라이브러리 임포트 없이도 파이썬 실행 시마다 악성 코드가 작동하도록 설계했다. 이 악성 코드는 SSH 키, AWS·Azure·GCP·GitHub 자격 증명, 브라우저 저장 비밀번호 등 개발자 환경의 민감한 정보를 탈취한 뒤 암호화하여 외부로 유출했다. 이번 사례는 GitHub 저장소의 코드만으로는 패키지의 안전성을 보장할 수 없다는 점을 시사한다. 보안을 위해 패키지 버전 고정(pinning)과 해시값 검증, 신규 릴리스의 충분한 검증 기간 확보, 실제 설치 아티팩트 검사 등의 철저한 공급망 보안 관리가 요구된다.
AI가 원문을 요약한 내용으로, 부정확할 수 있습니다.
원문 제목 @arpit_bhayani: A malicious release of LiteLLM on PyPI stole passwords and keys from machines, even if your code never used LiteLLM. Here is how i
원문 보기 ↗