热门漏洞扫描器 Trivy （v0.69.4） 遭遇重大供应链攻击，暴露了敏感数据泄露风险，突显了自动化 CI/CD 流水线中的关键漏洞。
📝 详细摘要
本文详细介绍了由 Aqua Security 维护的广泛使用的开源漏洞扫描器 Trivy 遭受的重大安全漏洞。攻击者窃取了仓库凭证，发布了一个恶意版本 （v0.69.4），该版本将敏感数据泄露到了外部域名。此次事件突显了威胁格局的转变，即受信任的安全工具和自动化流水线本身已成为高价值的攻击向量。报告涵盖了攻击机制、通过包管理器和 GitHub Actions 的传播方式，以及随后的行业广泛响应，呼吁在软件供应链中实施零信任原则、制品完整性验证和更严格的凭证管理。
💡 主要观点
- Trivy 的恶意版本 v0.69.4 通过被窃取的凭证泄露了敏感数据。 攻击者获取了仓库密钥，从而发布了一个受损版本。该版本在被移除前，曾通过包管理器和 CI/CD 集成等标准渠道短暂分发。
💬 文章金句
- “此次事件强化了软件行业日益增长的共识：安全工具本身现在也是攻击面的一部分。”
- “攻击者利用被窃取的凭证并操纵自动化发布流程，突显了受信任的流水线本身如何成为攻击向量。”
- “该事件突显了现代软件生态系统中信任的脆弱性，以及在整个开发流水线中加强治理、可见性和保障措施的必要性。”
📊 文章信息
AI 评分：88
来源：InfoQ
作者：Craig Risi
分类：软件编程
语言：英文
阅读时间：3 分钟
字数：524
标签： 供应链攻击, Trivy, 网络安全, CI/CD 安全, 开源