Trivy: популярный сканер уязвимостей скомпрометирован в атаке на цепочку поставок
Хакеры через украденные учетные данные внедрили вредонос в версии инструмента, используемого десятками тысяч разработчиков.
Хакеры скомпрометировали практически все версии сканера уязвимостей Trivy от компании Aqua Security в ходе атаки на цепочку поставок. Об этом в пятницу подтвердил мейнтейнер проекта Itay Shakury. Атака началась в четверг и затронула более 75 версий инструмента, включая популярные теги @0.34.2, @0.33 и @0.18.0. Единственная, похоже, неповрежденная версия — @0.35.0.
Злоумышленники использовали украденные учетные данные для force-push — команды, которая обходит защиту от перезаписи коммитов. В скомпрометированные версии внедрили вредонос, который активируется при запуске сканера в CI/CD конвейере. Инструмент имеет 33 200 звезд на GitHub, что указывает на его широкое распространение среди разработчиков.
По данным аналитиков Socket и Wiz, вредонос тщательно сканирует конвейеры разработки в поисках GitHub-токенов, облачных учетных данных, SSH-ключей, Kubernetes-токенов и других секретов. Найденные данные шифруются и отправляются на контролируемый злоумышленниками сервер. Это означает, что любой CI/CD конвейер, использующий скомпрометированные версии, выполнит вредоносный код при запуске сканирования.
Trivy — это инструмент для обнаружения уязвимостей в коде и случайно закоммиченных секретов, который разработчики интегрируют в процесс разработки и развертывания. Если вы подозреваете, что использовали скомпрометированную версию, Shakury рекомендует немедленно ротировать все секреты конвейера — считать их скомпрометированными.
Для белорусских IT-компаний и стартапов, использующих Trivy в своих процессах, это означает необходимость срочной проверки версий и аудита доступов. Особенно это актуально для проектов в Hi-Tech Park, где высокие требования к безопасности разработки.
Свежие новости
Все новости
Amazon SageMaker AI поддерживает разделение GPU для инференса в реальном времени
Amazon SageMaker AI добавил поддержку разделения GPU на реальных эндпоинтах: технология NVIDIA MIG делит один ускоритель на до семи изолированных разделов, каждый со своей памятью и вычислительными ресурсами.
Shopify Payments Apps API 2027-01 получил сигнал trusted_vault_origin
В релиз-кандидате Payments Apps API версии 2027-01 появилось поле payment_method.data.trusted_vault_origin. Оно позволяет платёжным приложениям не отклонять транзакцию при отсутствии CVV, если карта поступила из хранилища, которому доверяет Shopify. Поле опциональное и требует отдельного включения со стороны Shopify.
AWS Step Functions теперь можно подключать как инструменты для ИИ-агентов
AWS Step Functions добавила поддержку использования рабочих процессов в роли инструментов для ИИ-агентов через Amazon Bedrock AgentCore Gateway. Агент самостоятельно решает, когда запустить процесс и какие данные передать, а Step Functions выполняет каждый шаг в заданном порядке.
Shopify Flow теперь управляется через AI Toolkit
Shopify добавила в AI Toolkit поддержку управления рабочими процессами Flow. Агент может разбирать .flow-файлы, получать задачи и пути окружения, а также строить автоматизации — но только для собственного магазина и при наличии одобренного скоупа.
Shopify Tax: управляемый режим вводит новые ограничения Admin API
Shopify Tax managed mode теперь влияет на поведение Admin API: часть запросов на запись проходит валидацию на соответствие требованиям управляемого режима. Затронуты приложения, работающие с рынками, товарами, черновыми заказами и оформлением заказа.
Amazon EKS Auto Mode получил поддержку Kubernetes Gateway API
EKS Auto Mode теперь поддерживает Kubernetes Gateway API: маршрутизация трафика через ресурсы Gateway и HTTPRoute с автоматическим управлением инфраструктурой AWS.
Microsoft открыла доступ к Copilot Harness через Microsoft Foundry
Microsoft открыла Copilot Harness — оркестровочный слой, который уже используется в Copilot Code, Copilot Studio, GitHub Copilot и VS Code — для разработчиков и корпоративных клиентов через платформу Microsoft Foundry.
GitHub Copilot Fusion научился выбирать между локальными и облачными моделями
GitHub выпустил экспериментальную функцию интеллектуальной маршрутизации для локальных моделей в Copilot Fusion. Теперь инструмент может автоматически выбирать между моделями на устройстве и облачными — без ручного переключения при каждом запросе.
Shopify Theme App Add-ons: приложение можно предложить вместе с темой
Shopify представил механизм Theme App Add-ons, позволяющий разработчикам темы включать в её листинг собственное приложение. Блоки приложения интегрируются нативно через theme app extensions.