소프트웨어 공포: litellm PyPI 공급망 공격으로 모든 자격 증명 유출

요약

간단한 `pip install litellm` 명령어 하나로 SSH 키, 클라우드 자격 증명 (AWS/GCP/Azure), Kubernetes 설정, Git 인증서, 환경 변수 내 API 키, 셸 히스토리, 암호화 지갑, SSL 개인 키, CI/CD 비밀, DB 비밀번호 등 개발자의 모든 민감 정보가 유출될 수 있었습니다. 이 공급망 공격은 오픈소스 생태계의 신뢰를 위협하며, 의존성 관리의 중요성을 다시 한번 각인시켰습니다.

핵심 포인트

• `pip install litellm` 명령어만으로도 개발자의 SSH 키, 클라우드 자격 증명 및 모든 API 키가 유출될 수 있었습니다.
• 공격 범위는 Kubernetes 설정, Git 인증서, 암호화 지갑, SSL 개인 키, CI/CD 비밀, 데이터베이스 비밀번호까지 포함되었습니다.
• 이 사건은 오픈소스 라이브러리를 설치할 때 공급망 공격에 대한 경각심을 갖도록 경고했습니다.