NewsMore in News →
Trivy Security Scanner遭供应链攻击
黑客利用被盗凭证强制推送恶意依赖项到广泛使用的Trivy漏洞扫描器，影响几乎所有版本，可能危及数千个组织的CI/CD管道，并引发紧急凭证轮换响应。
Key Takeaways
- 被盗凭证允许强制推送恶意依赖项到几乎所有trivy-action和setup-trivy标签
- 强制推送在标签名称保持不变的情况下无声地替换提交历史，绕过开发人员检测
- 受损的操作可以访问所有CI/CD密钥，包括生产部署凭证
- 专家建议将Actions固定到不可变的提交SHA哈希值，而不是可变的标签名称
DE
DT Editorial AI··via arstechnica.com