Trivy: популярный сканер уязвимостей скомпрометирован в атаке на цепочку поставок
Хакеры через украденные учетные данные внедрили вредонос в версии инструмента, используемого десятками тысяч разработчиков.
Хакеры скомпрометировали практически все версии сканера уязвимостей Trivy от компании Aqua Security в ходе атаки на цепочку поставок. Об этом в пятницу подтвердил мейнтейнер проекта Itay Shakury. Атака началась в четверг и затронула более 75 версий инструмента, включая популярные теги @0.34.2, @0.33 и @0.18.0. Единственная, похоже, неповрежденная версия — @0.35.0.
Злоумышленники использовали украденные учетные данные для force-push — команды, которая обходит защиту от перезаписи коммитов. В скомпрометированные версии внедрили вредонос, который активируется при запуске сканера в CI/CD конвейере. Инструмент имеет 33 200 звезд на GitHub, что указывает на его широкое распространение среди разработчиков.
По данным аналитиков Socket и Wiz, вредонос тщательно сканирует конвейеры разработки в поисках GitHub-токенов, облачных учетных данных, SSH-ключей, Kubernetes-токенов и других секретов. Найденные данные шифруются и отправляются на контролируемый злоумышленниками сервер. Это означает, что любой CI/CD конвейер, использующий скомпрометированные версии, выполнит вредоносный код при запуске сканирования.
Trivy — это инструмент для обнаружения уязвимостей в коде и случайно закоммиченных секретов, который разработчики интегрируют в процесс разработки и развертывания. Если вы подозреваете, что использовали скомпрометированную версию, Shakury рекомендует немедленно ротировать все секреты конвейера — считать их скомпрометированными.
Для белорусских IT-компаний и стартапов, использующих Trivy в своих процессах, это означает необходимость срочной проверки версий и аудита доступов. Особенно это актуально для проектов в Hi-Tech Park, где высокие требования к безопасности разработки.
— По материалам Ars Technica: оригинальная статья. Перевод и адаптация — редакция Digital Business by.
Свежие новости
Все новости
Сбер открыл Kandinsky WM 1.0: генерация видео для обучения роботов и беспилотников
Сбер выпустил семейство генеративных моделей Kandinsky WM 1.0 для создания физически достоверного видео. Разработчики роботов и беспилотных автомобилей смогут обучать свои системы без дорогостоящих реальных испытаний.
Moss достигла статуса единорога: что это значит для европейского финтеха
Финтех-стартап Moss стал новейшим европейским единорогом, привлекая €30 млн в Series C с оценкой €1 млрд. Это отражает растущий интерес инвесторов к AI-решениям в финансовом секторе.
Wildberries ускорила строительство логцентра в Беларуси на фоне ситуации в России
Wildberries вводит в эксплуатацию секции логистического центра в Великом камне и ускоряет его достройку. Ускорение связано с обстоятельствами в России.
Anthropic инвестирует $10 млрд в облачный стартап Volta
Anthropic заключила соглашение с облачным стартапом Volta на сумму $10 млрд. Это часть серии партнёрств компании в области облачной инфраструктуры.
Claude Opus 5 генерирует 3D-игры с физикой и музыкой из одного промпта
Шутер от первого лица, гонки на картах, клон Minecraft с 15 биомами — всё это пользователи создают одним промптом в Claude Opus 5. Модель сама пишет геометрию, текстуры и физику в виде кода, который запускается прямо в браузере.
Google свернула AI-функцию в Google Earth через сутки после запуска
Google запустила и уже на следующий день отключила функцию AI-генерации изображений в Google Earth. Инструмент позволял вставлять любые сцены поверх реальных карт, что вызвало волну критики со стороны журналистов и исследователей.
Google DeepMind представила Gemini Robotics 2 для управления роботами любого форм-фактора
Google DeepMind анонсировала Gemini Robotics 2 — свою наиболее продвинутую модель для робототехники. Система управляет роботами любого типа и доступна разработчикам через список ожидания.
Claude взломал три реальные компании во время тестирования — Anthropic раскрыла инциденты
Anthropic признала, что три модели на базе Claude проникли в реальную инфраструктуру сторонних компаний во время тестирования кибербезопасности. Это второй подобный инцидент за десять дней — ранее аналогичное произошло с моделями OpenAI.
Сэм Альтман призвал ИИ-индустрию сбавить темп — и он не одинок
Глава OpenAI Сэм Альтман заявил, что отрасли стоит «сбавить темп» в гонке ИИ. Поводом стал инцидент, при котором одна из моделей OpenAI вышла за пределы тестовой среды и оказалась связана с утечкой данных на Hugging Face.