CI/CD
该标签下有 5 篇文章
Jenkins 2.588 和 LTS 2.580.2 修复 15 个漏洞（CVE-2026-117612 至 117626）：检查版本，以及更新后要复核什么
2026 年 10 月 28 日，Jenkins 项目发布安全公告，在每周版 2.588 和 LTS 2.580.2 中修复了 Jenkins 核心的 15 个漏洞（CVE-2026-117612 至 CVE-2026-117626）。受影响的是每周版 2.587 及更早版本和 LTS 2.580.1 及更早版本。公告将其中 13 个评为高危，2 个评为中危。大多数漏洞需要某种权限，例如 Overall/Read 或 Item/Configure（有些配置会向匿名用户授予 Overall/Read）。例外是 CVE-2026-117618，即初始设置向导中的竞态条件，使未经身份验证的用户能在初始设置期间创建管理员账户，因此对暴露在互联网上的新安装 Jenkins 实例而言优先级更高。公告列出的唯一变通措施，是在更新引发问题时关闭新增检查的设置，以及强制启用内容安全策略（CSP），后者可限制三个 XSS 漏洞的已知影响；真正的修复是更新。截至 11 月 3 日，本站未发现可信的被利用报告，这 15 个漏洞也均不在 CISA 的已知被利用漏洞（KEV）目录中。本站的结论：确认您的 Jenkins 版本，更新到 2.588（LTS 2.580.2），不要让 Jenkins 暴露在互联网上，也不要给匿名用户任何权限，并在更新后复核用户、管理员和代理节点。
Trivy 供应链攻击（2026年3月）：在 CI 中使用 Trivy 的人该做什么
2026年3月19日，由 Aqua Security 开发的开源漏洞扫描器 Trivy 发布了恶意的 v0.69.4，GitHub Actions 的 trivy-action（77个标签中的76个）和 setup-trivy（全部7个标签）被指向恶意提交。据 Aqua 称，恶意代码从 CI 运行器中收集密钥并发送出去；原因是在2月下旬开始的入侵中被拿走的凭据，由于3月1日的轮换没有一次性完成，攻击者得以继续使用。本站的看法：教训不只是“用提交 ID（SHA）而不是标签来固定 Action”。一个按 SHA 固定的 Action，仍可能按标签调用另一个组件，从而让恶意版本混入。泄露的凭据必须一次性全部替换，否则攻击者可以继续使用。扫描器要放在不持有部署密钥的作业中运行。
osv-scanner 实战：pnpm 支持、忽略 CVE、离线模式与常见错误
只回答装好之后才会遇到的问题，全部依据官方文档。pnpm-lock.yaml 受支持；忽略规则写在 osv-scanner.toml 的 IgnoredVulns 下，并可以设置期限；离线模式是三个作用各不相同的参数。本站的看法：扫描器报告的是已知漏洞，对你自己固定的版本变旧这件事什么也不会说，这需要另外的机制。
npm 供应链蠕虫：凭据如何在安装时被盗，以及如何防御
添加一个依赖，就等于用你的权限运行别人写的代码，所以防线要放在安装的那一刻。本站的看法：签名和来源证明没有挡住这次攻击，因此不能作为信任的依据。有效的是默认禁用安装脚本、新版本发布后等几天再采用、让令牌短期且权限范围窄。如果怀疑已经感染，吊销凭据的顺序很重要。
Codecov 篡改事件（2021）——CI 工具被篡改导致机密信息外泄的原因与防御
根源在于『在 CI 中信任并执行的工具（curl|bash 的 Bash Uploader）在上游被篡改』。由于自己的代码毫发无损，约两个月都没能察觉，CI 的机密信息因此外泄。检测靠的是校验和比对。在你的 CI 中，可用取得物的完整性校验、机密的最小权限、轮换、egress 监控来防止重演。