Internetul a traversat miercuri, 21 octombrie, o zi neobișnuit de aglomerată pentru echipele de securitate: vulnerabilități critice în PHP și Node.js au coincis cu compromiterea unor pachete LiteLLM și a cheilor private ale unei autorități de certificare. Reuters a relatat că site-uri guvernamentale din mai multe țări au devenit indisponibile pe fondul problemelor PHP.
Agenția Națională de Securitate a SUA (NSA) le-a recomandat organizațiilor care folosesc PHP să instaleze imediat actualizările sau să scoată sistemele offline până la remediere. Separat, Node.js a anunțat patru vulnerabilități de severitate ridicată, dintre care una permitea execuție de cod de la distanță, iar două puteau ocoli validarea TLS.
De la vulnerabilități la pachete malițioase
Problemele Node.js puteau slăbi verificările prin care un client confirmă identitatea serverului, deschizând posibilitatea unor atacuri care exploatează validarea TLS. Sursa nu precizează natura celei de-a patra vulnerabilități, dar recomandă atenție la actualizarea celei mai recente versiuni care le repară.
În aceeași zi, echipa LiteLLM a anunțat pe X că un atacator a injectat cod malițios în artefacte publicate pe PyPI, Docker Hub și GHCR, registrul de containere GitHub. LiteLLM este un proxy open-source folosit pentru rutarea solicitărilor către mai mulți furnizori de modele lingvistice mari.
Codul malițios ar fi inclus un program de furt de informații, orientat spre acreditări cloud, parole și credențiale pentru servicii AI, precum și un troian de acces la distanță, capabil să permită executarea de comenzi pe sistemele compromise. LiteLLM a eliminat versiunile și imaginile malițioase și le-a cerut celor care le-au instalat să urmeze instrucțiunile de remediere publicate de companie.
Cheile unei autorități de certificare, în centrul alertei
Un alt incident a vizat eMudhra, o autoritate de certificare din India, ale cărei chei private au fost compromise. Aceste chei ar putea permite emiterea unor certificate digitale frauduloase și, implicit, impersonarea unor site-uri legitime; sursa nu afirmă că au fost deja emise astfel de certificate.
Specialiștii în securitate au descris remedierea drept o operațiune de curățare masivă, „mai mare decât Heartbleed”, vulnerabilitatea critică din biblioteca criptografică OpenSSL. Compromiterea cheilor ridică miza dincolo de un singur server: certificatele frauduloase pot submina lanțul de încredere folosit de browsere și servicii online.
Valul vine după alte incidente recente, fără ca materialul să indice o legătură între ele: TiDB Cloud a anunțat luni o breșă, iar atacatori exploatează patru vulnerabilități remediate în Plex Media Server, grupate sub numele Plex2Shell. Săptămâna trecută, BeyondTrust a avertizat asupra unei vulnerabilități zero-day critice în produsul Remote Support, exploatată încă din august.
Ce ar trebui să verifice organizațiile din România și UE
Pentru companiile și instituțiile românești, riscul imediat este să folosească versiuni vulnerabile sau artefacte LiteLLM compromise, inclusiv prin imagini de container preluate din registre publice. Echipele tehnice ar trebui să verifice versiunile instalate și sursa imaginilor, să aplice actualizările PHP și Node.js și să urmeze recomandările specifice ale furnizorilor.
Dacă există suspiciunea instalării unui pachet malițios, simpla eliminare nu este suficientă: organizația trebuie să evalueze expunerea sistemului și să rotească parolele, cheile cloud și credențialele serviciilor AI care ar fi putut fi accesibile. Pentru eMudhra, administratorii trebuie să urmărească notificările oficiale și măsurile privind certificatele, fără a presupune că orice certificat a fost deja falsificat.
Incidentele nu au fost legate între ele, însă succesiunea lor arată presiunea asupra echipelor care trebuie să prioritizeze simultan vulnerabilități, lanțuri de aprovizionare software și încrederea în certificate. Inteligența artificială poate accelera descoperirea vulnerabilităților, dar și transformarea rapidă a unei probleme cunoscute într-o oportunitate de atac; de aceea, monitorizarea și aplicarea promptă a remedierilor rămân esențiale.
