Leaked LiteLLM Master Key Let Attackers Steal GitHub Tokens and Hijack Release Pipeline
The Hacker News · 24 oct, 13:03
Qué hacer: Revoca inmediatamente cualquier token de OAuth de GitHub que hayas usado con LiteLLM; audita todos los secrets (OpenAI, Anthropic, AWS, GitGuardian) potencialmente expuestos; no uses LiteLLM versión 1.107.0 si la descargaste antes del 21 de octubre a las 11:40 UTC.
LiteLLM sufrió un ataque a su cadena de suministro tras exponer accidentalmente una clave maestra en un repositorio público de GitHub en mayo de 2026. El atacante utilizó esta clave en octubre para acceder a la plataforma de agentes, robar tokens de OAuth de GitHub con privilegios de propietario, y publicar una versión maliciosa del paquete Python LiteLLM 1.107.0 en PyPI, Docker Hub y GHCR antes de ser detectado y retirado.
El 27 de mayo de 2026, LiteLLM cometió el error de enviar un archivo de configuración a LiteLLM-Labs/lite-harness conteniendo la clave maestra del Agent Platform. Aunque se identificó rápidamente y se reescribió el commit, la clave maestra no fue revocada. El atacante desde la dirección IP 69.48.229.143 explotó esta clave el 10 de octubre para acceder a la plataforma y extraer un token de OAuth de GitHub CLI sin restricciones de alcance, asociado con la cuenta propietaria de la organización.
Usando este token de propietario, el atacante creó workflows maliciosos en ramas efímeras (ci-tmp-<hex>) que se ejecutaron automáticamente para exfiltrar tokens de GitHub, credenciales de API (OpenAI, Anthropic, AWS Bedrock, Tavily, GitGuardian), claves de GitHub Apps, datos de PostgreSQL, Redis, e identificadores de Playwright. El 21 de octubre, modificó la tubería de lanzamiento para apuntar a un repositorio falso "Berri-AI/litellm" y utilizó dos tokens robados de ingenieros mantenedores para disparar y aprobar la publicación de LiteLLM 1.107.0. PyPI retiró el paquete en cuestión de minutos tras ser reportado por un investigador de Upwind.
Puntos clave
- Clave maestra expuesta en May 2026 en repositorio público; no fue revocada
- Token de OAuth de GitHub sin restricciones permitió acceso de propietario a toda la organización
- Workflows maliciosos en ramas efímeras exfiltraron 12+ conjuntos de credenciales de terceros
- Versión 1.107.0 publicada el 21 de octubre; retirada de PyPI, Docker Hub y GHCR
- Relajación temporal de restricciones de lanzamiento facilitó la aprobación del release malicioso