CI/CD
このタグの記事 4 件
Trivyのサプライチェーン侵害（2026年3月）：CIでTrivyを使っている人がやること
2026年3月19日、Aqua Securityが開発するオープンソースの脆弱性スキャナTrivyで、不正なv0.69.4がリリースされ、GitHub Actionのtrivy-action（77タグ中76）とsetup-trivy（全7タグ）が不正なコミットに書き換えられた。Aquaによれば、不正なコードはCIの実行環境から秘密情報を集めて外部に送るもので、2月下旬に始まった侵害で得た認証情報を、3月1日のローテーション（認証情報の入れ替え）が一斉に行われなかったために使い続けられたことが原因とされる。当サイトの結論：教訓は、Actionsをタグではなくコミットの識別子（SHA）で固定することだけではない。SHAで固定したアクションの中で別の部品がタグで呼ばれていれば、そこから不正な版が入り得る。漏れた認証情報の入れ替えは、一斉に行わなければ攻撃者のアクセスを断てない。脆弱性スキャナは、秘密情報を渡さないジョブで動かす。
osv-scanner の実務Q&A — pnpm対応・CVEの除外・オフライン実行・つまずくエラー
導入の次に出てくる実務の疑問だけを集めた。要点＝pnpm-lock.yamlは対応済み、除外は osv-scanner.toml の IgnoredVulns（期限付きで書ける）、オフラインは3つのフラグの関係を理解すれば迷わない。当サイトの考え：スキャナが知らせるのは既知の脆弱性だけで、自分で固定したバージョンが古くなったことは教えてくれない。そこは別の仕組みで見る必要がある。
npmのサプライチェーンワーム：インストール時に認証情報が盗まれる仕組みと対策
依存を1つ入れる行為は、他人のコードを自分の権限で実行させる行為。だから防御は『インストールの瞬間』に置く。当サイトの視点：署名やprovenanceは今回の攻撃を防げなかったため、信頼の根拠にはできない。効くのは、インストール時スクリプトを既定で止める・新しい版の採用を数日待つ・トークンを短命かつ最小範囲にする、の3点。そして感染が疑われるときは、失効させる順序を間違えないこと。
Codecov 改ざん事件（2021）— CIで使う外部ツールが改ざんされ、秘密情報が流出した原因と防御
原因は『CIで信頼して実行するツール（curl|bashのBash Uploader）が上流で改ざんされた』こと。自分のコードは無傷なので約2か月気づけず、CIの秘密情報が流出。検知はチェックサム照合だった。あなたのCIでは取得物の完全性検証・秘密の最小権限・ローテーション・egress監視で再発防止する。