2,500社以上がLiteLLMサプライチェーン攻撃の影響を受ける

今年発生したLiteLLMのサプライチェーン攻撃により、2,500を超える組織と43万件以上のCI/CDパイプラインが影響を受けたことが、CloudSEKの調査で明らかになりました。

LiteLLMの侵害は、Aqua Securityのオープンソース脆弱性スキャナー「Trivy」に対するサプライチェーン攻撃の直後に公表され、実際にその攻撃の直接的な結果として発生したものです。

CloudSEKによれば、複数の著名なオープンソースソフトウェア（OSS）侵害の背後にいる脅威アクターTeamPCPは、LiteLLMを直接の標的にしたわけではないとのことです。

このオープンソースのPythonライブラリおよびプロキシサーバーは、そのCIパイプラインが侵害されたバージョンのTrivyを自動的にインストールしたことで侵害されました。LiteLLMのバージョン1.82.7および1.82.8の2つがPyPIに公開され、これによって攻撃者はLiteLLMが扱うあらゆる情報にアクセスできる状態になりました。

「まずTrivy、次に［LiteLLMの］ビルドシステム、そしてLiteLLMのリリース――失効していない1つのトークンが、3段階にわたるツールを貫いていました。この連鎖こそが、単一の認証情報漏洩をエコシステム全体への露出へと変えてしまう要因です」とCloudSEKは指摘しています。

「自動化されたビルドシステムは時間を圧縮します。悪意あるアーティファクトが一度レジストリに到達すると、スケジュール済みのジョブ、依存関係リゾルバー、一時的なランナー、開発者のノートPC、キャッシュされたレイヤーなどが瞬く間にそれをコピーしてしまいます。そのため、フォレンジック調査や認証情報のローテーションが必要な期間は、パッケージの削除後も長く続くことになります」と同社は続けています。

改ざんされたLiteLLMのバージョンには、明示的なインポートなしにPythonが呼び出されるたびに実行される悪意あるコードが仕込まれていました。このペイロードは、当該パッケージがインストールされたすべてのシステム上で実行されました。

CloudSEKによると、影響を受けたパッケージが公開されていたのはわずか40分間でしたが、それでも悪意あるコードが拡散するには十分な時間であり、最終的に43万4,000件のCI/CDパイプラインが露出し、2,500を超える組織に影響が及びました。

Nvidia、AWS、Samsung、Salesforce、Cisco、ServiceNow、Accenture Federal Services、Siemens、Regeneron Pharmaceuticals、London Stock Exchange Group、FedEx、Volkswagen、Orange、HP、Deutsche Bahn、NGINX、Zscalerなどは、CloudSEKのリストに挙げられた名前のごく一部に過ぎません。

「2,500社以上、43万4,000パイプラインという数字は、再構成された露出範囲を示すものです。これらの数字を、リストに挙がった組織すべてが実際に侵害された、あるいはすべての認証情報が盗まれたことの証拠として読むべきではありません」とCloudSEKは述べ、侵害の有無は個々のケースごとに独立して検証すべきだと注意を促しています。

LiteLLMのサプライチェーン攻撃は、パッケージ公開用の認証情報、クラウドキー、SSHキー、トークン、環境変数、ランタイムデータ、AIプロバイダーのキーなど、機微な情報の広範な侵害につながりました。

攻撃者はこれらの秘密情報を悪用することで、アカウントの乗っ取り、データの窃取、悪意あるコミットの注入、永続化の確立、横方向への侵入拡大、サービスの妨害、マルウェアの展開など、さまざまな種類の攻撃を仕掛けることが可能でした。

組織は、LiteLLMライブラリがアクセス可能だった秘密情報はすべて侵害されたものとみなすべきであり、これには「プロセスメモリ上に存在していたもの、ジョブに注入されたもの、ディスクに保存されていたもの、あるいはインスタンスのメタデータサービス経由で取得可能だったもの」も含まれます。

侵害された可能性のある秘密情報は検証したうえで、サービスアカウントやセッションと合わせてローテーションする必要があります。また、露出の範囲と期間を特定するためにログを確認することも重要です。

CloudSEKによれば、次に起こる大規模なサプライチェーン攻撃はAIインフラを標的とする可能性が高いとのことです。こうしたシステムは、データ・ID・計算資源・自律的な行動をつなぐ「価値の高い結節点」になっているためです。

「今回のインシデントは、たまたまAI製品が関わっていたソフトウェアサプライチェーンの侵害にとどまるものではありませんでした。AIの制御ポイントを侵害すれば、その周辺にあるIDやシステムまでも露出させうることを、この一件は示したのです。今後の攻撃は、AI層がほかのあらゆるものとつながっているからこそ、まさにその層を狙う可能性が高いでしょう」とCloudSEKは指摘しています。