Широко используемый сканер Trivy взломан в ходе продолжающейся атаки на цепочку поставок

Хакеры скомпрометировали практически все версии широко используемого сканера уязвимостей Trivy от Aqua Security в ходе продолжающейся атаки на цепочку поставок, которая может иметь далеко идущие последствия для разработчиков и организаций, которые их используют.

Сопровождающий Trivy Итай Шакури подтвержденный компромисс в пятницу, после слухов и нитьтак как удалено злоумышленниками, обсуждающими инцидент. Нападение началось рано утром в четверг. Когда это было сделано, злоумышленник использовал украденные учетные данные, чтобы принудительно отправить все теги триви-действия, кроме одного, и семи тегов настройки-триви, для использования вредоносных зависимостей.

Предположим, что ваши трубопроводы скомпрометированы

А принужденный толкать — это команда git, которая переопределяет механизм безопасности по умолчанию, защищающий от перезаписи существующих коммитов. Trivy — это сканер уязвимостей, который разработчики используют для обнаружения уязвимостей и непреднамеренно запрограммированных секретов аутентификации в конвейерах разработки и развертывания обновлений программного обеспечения. Сканер получил 33 200 звезд на GitHub, и это высокий рейтинг, указывающий на его широкое использование.

«Если вы подозреваете, что используете скомпрометированную версию, считайте все секреты конвейера скомпрометированными и немедленно меняйте их», — написал Шакури.

Охранные фирмы Розетка и Виз сказал, что вредоносное ПО, запущенное в 75 скомпрометированных тегах триви-экшн, заставляет специальное вредоносное ПО тщательно проверять конвейеры разработки, включая машины разработчиков, в поисках токенов GitHub, облачных учетных данных, ключей SSH, токенов Kubernetes и любых других секретов, которые могут там храниться. После обнаружения вредоносная программа шифрует данные и отправляет их на сервер, контролируемый злоумышленником.

Конечным результатом, по словам Сокета, является то, что любой CI/CD Конвейер, использующий программное обеспечение, которое ссылается на теги скомпрометированной версии, выполняет код сразу после запуска сканирования Trivy. Поддельные теги версий включают широко используемые @0.34.2, @0.33 и @0.18.0. Версия @0.35.0, похоже, единственная, на которую это не коснулось.