CI/CD
5 статей с этим тегом
Jenkins 2.588 и LTS 2.580.2 исправляют 15 уязвимостей (CVE-2026-117612–117626): как проверить версию и что проверить после обновления
28 октября 2026 года проект Jenkins опубликовал уведомление безопасности, исправляющее 15 уязвимостей в ядре Jenkins (CVE-2026-117612–CVE-2026-117626) в еженедельной версии 2.588 и LTS 2.580.2. Затронуты еженедельные версии 2.587 и ниже и LTS 2.580.1 и ниже. Уведомление оценивает 13 как High и 2 как Medium. Для большинства нужны какие-то права, например Overall/Read или Item/Configure (в некоторых конфигурациях Overall/Read выдан анонимным пользователям). Исключение — CVE-2026-117618, состояние гонки в мастере первоначальной настройки, которое позволяет неаутентифицированному пользователю создать учётную запись администратора во время первоначальной настройки; из-за этого выше приоритет у недавно установленных Jenkins, доступных из интернета. Единственные обходные меры, которые перечисляет уведомление, — настройки для отключения новых проверок, если обновление вызывает проблемы, и принудительная Content Security Policy, ограничивающая известное воздействие трёх XSS-уязвимостей; исправление — обновление. На 3 ноября этот сайт не нашёл достоверных сообщений об эксплуатации, и ни одной из 15 нет в каталоге известных эксплуатируемых уязвимостей (KEV) CISA. Вывод этого сайта: проверьте версию Jenkins, обновитесь до 2.588 (LTS 2.580.2), не выставляйте Jenkins в интернет и не давайте анонимным пользователям прав, а после обновления проверьте пользователей, администраторов и агентов.
Компрометация цепочки поставок Trivy (март 2026): что делать, если Trivy работает у вас в CI
19 марта 2026 года вышла вредоносная версия v0.69.4 сканера уязвимостей с открытым кодом Trivy, который разрабатывает Aqua Security, а теги GitHub Actions trivy-action (76 из 77) и setup-trivy (все 7) были перенаправлены на вредоносные коммиты. По словам Aqua, вредоносный код собирал секреты с раннеров CI и отправлял их наружу; причиной стали учётные данные, полученные при взломе, начавшемся в конце февраля: атакующий смог и дальше ими пользоваться, потому что ротацию 1 марта провели не одновременно. Взгляд этого сайта: урок не только в том, чтобы закреплять actions по ID коммита (SHA), а не по тегу. Action, закреплённый по SHA, всё равно может вызывать другой компонент по тегу, и через это проходит вредоносная версия. Утёкшие учётные данные нужно заменять все сразу, иначе атакующий продолжит ими пользоваться. Запускайте сканеры в заданиях, у которых нет секретов для развёртывания.
osv-scanner на практике — pnpm, игнорирование CVE, офлайн-режим и типичные ошибки
Только вопросы второго дня, с ответами по официальной документации. pnpm-lock.yaml поддерживается; исключения задаются в osv-scanner.toml в IgnoredVulns и могут иметь срок действия; офлайн-режим — это три флага с тремя разными задачами. Взгляд этого сайта: сканер сообщает об известных уязвимостях и ничего не говорит о том, что версия, которую вы сами зафиксировали, устарела, — для этого нужен отдельный механизм.
Черви в цепочке поставок npm: как учётные данные крадут при установке пакета и как защититься
Добавить зависимость — значит запустить чужой код с вашими правами, поэтому защищаться нужно в момент установки. Взгляд этого сайта: подписи и provenance эту кампанию не остановили, значит, на них нельзя строить доверие. Помогает другое: отключить скрипты установки по умолчанию, выжидать несколько дней перед переходом на новый релиз и делать токены короткоживущими и узкими по правам. Если есть подозрение на заражение, важен порядок отзыва.
Утечка Codecov (2021) — когда инструмент CI был изменён и утекли секреты
Доверенный инструмент CI (Bash Uploader на curl|bash) был изменён на стороне поставщика. Поскольку ваш собственный код не трогали, это оставалось незамеченным ~2 месяца, пока утекали секреты CI; поймала это проверка контрольной суммы. В вашем CI: проверяйте загружаемые артефакты, минимальные привилегии секретов, ротация, мониторинг исходящего трафика.