Компрометация цепочки поставок Trivy (март 2026): что делать, если Trivy работает у вас в CI

Aqua просит пользователей просмотреть журналы запусков workflow за 19–20 марта 2026 года. Окна времени в бюллетене (UTC):

• trivy-action: примерно с 17:43 19 марта до примерно 05:40 20 марта
• setup-trivy: примерно с 17:43 до примерно 21:44 19 марта
• Trivy v0.69.4: с 18:22 до примерно 21:42 19 марта
• образы Docker Hub v0.69.5 и v0.69.6: с 15:43 22 марта до примерно 01:40 23 марта

Если в организации много workflow, найдите те, что ссылаются на aquasecurity/trivy-action и aquasecurity/setup-trivy, и отфильтруйте их историю запусков по этим окнам.

В бюллетене важно, как именно вы ссылались на компонент.

• trivy-action — затронуты: любой тег, кроме 0.35.0 (0.0.1–0.34.2); явно указанный version: latest в окно воздействия; закрепление по SHA на коммит до 9 апреля 2025 года. Не затронуты: тег 0.35.0; закрепление по SHA на безопасные коммиты после 9 апреля 2025 года.
• setup-trivy — затронуто: любое использование без закрепления по SHA. Не затронуто: закрепление по SHA на безопасные коммиты.
• Сам Trivy — затронуты: v0.69.4 (включая latest в окно воздействия; GitHub, deb, rpm, get.trivy.dev, GHCR, ECR Public, Docker Hub) и v0.69.5 и v0.69.6 в Docker Hub. Не затронуты: v0.69.3 и более ранние; образы, на которые ссылались по digest; сборки из исходного кода; официальная формула Homebrew.

Aqua говорит, что если есть хоть какая-то вероятность, что запускалась скомпрометированная версия, все секреты, доступные затронутым пайплайнам, нужно считать раскрытыми: учётные данные облаков (AWS, GCP, Azure), учётные данные Git, учётные данные реестров контейнеров, ключи SSH, токены Kubernetes, переменные окружения и другие секреты автоматизации.

Компания просит считать токены публикации npm активно скомпрометированными и говорит, что украденные токены используются для распространения вредоносного ПО через npm. Для self-hosted раннеров Aqua также перечисляет учётные данные баз данных, закрытые ключи TLS и конфигурации VPN, хранящиеся на раннере.

Этот шаг следует из причины, найденной у самого Trivy. По словам Aqua, ротацию 1 марта провели не одновременно, и пока она тянулась несколько дней, атакующий мог воспользоваться ещё действующим токеном и забрать даже только что выпущенные секреты.

Составив список затронутых секретов, сначала отключите старые ключи все вместе, а затем выпустите новые. Если менять ключи по одному, у ещё действующего старого ключа остаётся возможность прочитать новые. Заложите короткий простой как плату за это.

В качестве пунктов проверки Aqua перечисляет репозиторий, созданный в вашей организации GitHub, если использовался запасной путь вывода данных, и файлы, оставшиеся на машине, где v0.69.4 запускалась вне CI, например на рабочей машине разработчика. Если вы могли быть затронуты, пройдите по спискам проверки из сообщения Aqua и бюллетеня (ссылки ниже; эта статья не воспроизводит значения индикаторов).

Безопасными Aqua называет Trivy v0.69.2 и v0.69.3, trivy-action v0.35.0 и setup-trivy v0.2.6. Согласно бюллетеню, старые теги trivy-action (0.0.1–0.34.2) удалены и не могут быть пересозданы под теми же именами, поэтому их переопубликовали с префиксом v (например, v0.34.0), указывающим на исходные легитимные коммиты (несколько не восстановлены). Если вы всё ещё ссылаетесь на старую версию, ссылку нужно обновить.

Согласно бюллетеню, trivy-action перевёл ссылки на внутренние компоненты на закрепление по SHA в pull request, принятом 9 апреля 2025 года. У тех, кто закрепил trivy-action на более ранний коммит, безопасный trivy-action вызывал вредоносный setup-trivy по тегу.

Если вы используете actions, собранные из других actions (составные actions), откройте action.yml в закреплённом коммите и проверьте, закреплены ли по SHA строки uses: внутри. Если нет, перейдите на более новый коммит или вызывайте внутренние компоненты напрямую из своего workflow, закрепив их по SHA.

В августе 2025 года GitHub добавил в политику разрешённых actions параметр, который требует закреплять actions по полному SHA коммита. Его можно задать на уровне предприятия, организации или репозитория, и workflow, использующие незакреплённый action, завершаются ошибкой. Та же политика позволяет блокировать отдельные actions или версии — это ещё и способ отключить затронутую версию во всей организации во время инцидента вроде этого.

Согласно бюллетеню, Trivy v0.69.3 и trivy-action 0.35.0 уцелели потому, что неизменяемые релизы GitHub были включены до их публикации. Однако Aqua говорит, что значок «Immutable» появлялся и рядом с перезаписанными тегами и что надёжная защита — закрепление по полному SHA коммита, а не значок. Значок описывает релиз на момент публикации.

Согласно бюллетеню, образы, на которые ссылались по digest (@sha256:…), затронуты не были. Загрузка по latest или только по тегу версии в окно воздействия подтянула бы вредоносную сборку. В бюллетене Trivy также показано, как проверять бинарные файлы и образы по подписям Sigstore и меткам времени подписи. Для инструментов, которые скачивает ваш CI, указывайте версию явно и по возможности закрепляйте по digest или контрольной сумме.

По словам Aqua, вредоносный код выполнялся до легитимного сканирования, а результаты сканирования выглядели обычно, поэтому заметить это было трудно. Сканированию обычно не нужны права на запись в облако или реестр. Запускайте сканирование в отдельном задании, которое не получает секретов для развёртывания, с permissions: только на чтение.

По словам Aqua, запасной путь вывода данных работал, только если в workflow передавался персональный токен доступа (PAT), и не срабатывал со стандартным GITHUB_TOKEN. Проверьте, что вы не передаёте персональный токен шагу сканирования.