LiteLLM 再遭供應鏈攻擊，惡意版本 1.107.0 可竊取憑證與金鑰

PANews 10月22日消息，據慢霧（SlowMist）披露，LiteLLM 再次遭遇供應鏈攻擊，惡意版本 litellm@1.107.0 波及 PyPI 套件及 Docker 映像，包括 latest、main-stable 等浮動標籤。注入的惡意程式碼會在 Python 啟動時自動執行，竊取雲端憑證、AI API 金鑰、SSH 私鑰等敏感資料，並支援遠端程式碼執行。受影響版本已被移除或替換。慢霧建議使用者避免使用 1.107.0 版本，從乾淨映像重建受影響環境，輪換可能洩露的憑證，並將版本固定至 1.106.2。