NewsMore in News →
Trivy Security Scanner Golpeado por Ataque de Cadena de Suministro
Los piratas informáticos utilizaron credenciales robadas para forzar cambios de dependencias maliciosas en casi todas las versiones del escáner de vulnerabilidades Trivy ampliamente utilizado, comprometiendo potencialmente canalizaciones CI/CD en miles de organizaciones e impulsando una respuesta de rotación de credenciales de emergencia.
Key Takeaways
- Las credenciales robadas permitieron forzar cambios de dependencias maliciosas en casi todas las etiquetas trivy-action y setup-trivy
- Forzar cambios reemplaza silenciosamente el historial de confirmaciones mientras que los nombres de etiqueta permanecen sin cambios, evadiendo la detección de desarrolladores
- Las acciones comprometidas tenían acceso a todos los secretos de CI/CD incluidas credenciales de despliegue en producción
- Los expertos recomiendan fijar Actions a hashes SHA de confirmación inmutables en lugar de nombres de etiqueta mutables
DE
DT Editorial AI··via arstechnica.com