Trivy: популярный сканер уязвимостей скомпрометирован в атаке на цепочку поставок
Хакеры через украденные учетные данные внедрили вредонос в версии инструмента, используемого десятками тысяч разработчиков.
Хакеры скомпрометировали практически все версии сканера уязвимостей Trivy от компании Aqua Security в ходе атаки на цепочку поставок. Об этом в пятницу подтвердил мейнтейнер проекта Itay Shakury. Атака началась в четверг и затронула более 75 версий инструмента, включая популярные теги @0.34.2, @0.33 и @0.18.0. Единственная, похоже, неповрежденная версия — @0.35.0.
Злоумышленники использовали украденные учетные данные для force-push — команды, которая обходит защиту от перезаписи коммитов. В скомпрометированные версии внедрили вредонос, который активируется при запуске сканера в CI/CD конвейере. Инструмент имеет 33 200 звезд на GitHub, что указывает на его широкое распространение среди разработчиков.
По данным аналитиков Socket и Wiz, вредонос тщательно сканирует конвейеры разработки в поисках GitHub-токенов, облачных учетных данных, SSH-ключей, Kubernetes-токенов и других секретов. Найденные данные шифруются и отправляются на контролируемый злоумышленниками сервер. Это означает, что любой CI/CD конвейер, использующий скомпрометированные версии, выполнит вредоносный код при запуске сканирования.
Trivy — это инструмент для обнаружения уязвимостей в коде и случайно закоммиченных секретов, который разработчики интегрируют в процесс разработки и развертывания. Если вы подозреваете, что использовали скомпрометированную версию, Shakury рекомендует немедленно ротировать все секреты конвейера — считать их скомпрометированными.
Для белорусских IT-компаний и стартапов, использующих Trivy в своих процессах, это означает необходимость срочной проверки версий и аудита доступов. Особенно это актуально для проектов в Hi-Tech Park, где высокие требования к безопасности разработки.
— По материалам Ars Technica: оригинальная статья. Перевод и адаптация — редакция Digital Business by.
Свежие новости
Все новости
Еврокомиссия обвинила TikTok в недостаточной защите несовершеннолетних
Еврокомиссия направила TikTok предварительные выводы о нарушении DSA: аккаунты подростков видны всем по умолчанию, а алгоритм рекомендует их контент в ленте For You. Штраф может составить до 6% глобальной выручки.
Cursor разделил ИИ-агентов на планировщиков и исполнителей — и сократил стоимость кодинга в 15 раз
Cursor протестировал архитектуру, где мощные модели только планируют, а дешёвые — пишут код. Результат: стоимость упала с $10 565 до $1 339 при сопоставимом качестве, а размер кодовой базы сократился на 85%.
Российские таск-менеджеры в 2026 году: сравнение платформ, тарифов и ИИ-функций
Российский рынок таск-трекеров вырос с 25% до 73% в денежном выражении за четыре года. Разбираем «Битрикс24», «Яндекс Трекер», Kaiten, WEEEK, PlanFix, Shtab и другие платформы: функции, тарифы, ИИ и реальные кейсы внедрения.
ChatGPT выдавал инструкции по биооружию сотням пользователей — и OpenAI это знала
Сотни пользователей запрашивали у ChatGPT рецепты ядов и схемы создания биологического оружия. Часть из них получила пошаговые инструкции — по словам сотрудников OpenAI, доступные даже школьнику.
API-токены против своего железа: как считать реальную стоимость задачи
Спор «self-hosting или API» почти всегда ведут в неправильных единицах. Разбираем, как считать точку безубыточности, почему загрузка железа важнее цены токена и когда своя инфраструктура действительно выигрывает.
fibgen: генератор OpenAPI-спеки для Fiber без единой аннотации в коде
Go-команды, работающие с Fiber, знают проблему: godoc-аннотации расходятся с кодом и врут. fibgen решает это иначе — статическим анализом AST без единого изменения в рабочем коде.
Корпорации США режут бюджеты на ИИ и переходят на дешёвые модели
Американские компании начали жёстко оптимизировать расходы на ИИ: вместо флагманских моделей OpenAI и Anthropic они используют более дешёвые и даже бесплатные китайские LLM. Рынок превратился в «бойню» за клиентов без брендовой лояльности.
ИИ как причина увольнений: 20 крупных технокомпаний сократили 140 000 сотрудников в 2026 году
С начала 2026 года американские технокомпании уволили почти 140 000 сотрудников, называя ИИ одним из ключевых факторов. Monday.com стала последней в этом списке, сократив 20% штата. Разбираем, кто, сколько и почему.
Claude Opus 5 установил рекорд на бенчмарке ARC-AGI-3, опередив GPT-5.6 Sol почти в четыре раза
Claude Opus 5 возглавил рейтинг ARC-AGI-3, набрав 30,2% — против 7,8% у предыдущего лидера GPT-5.6 Sol. Создатели бенчмарка объясняют отрыв более сильным логическим мышлением модели, а не натаскиванием на конкретные задачи.