Uma ação maliciosa de injeção de script no GitHub Action Trivy (aquasecurity/trivy-action) comprometeu pipelines de integração contínua e entrega contínua (CI/CD) globalmente. A vulnerabilidade foi divulgada em março de 2026 e marca o segundo compromisso distinto afetando o ecossistema Trivy em um único mês. Os atores ameaçadores conseguiram forçar a atualização de 75 das 76 tags de versão existentes para distribuir...
Detalhes Técnicos
Vulnerabilidade: A ação maliciosa foi realizada por meio de injeção de script no GitHub Action Trivy, comprometendo a segurança dos pipelines CI/CD.
Impacto: A vulnerabilidade permitiu que os atores ameaçadores distribuíssem código malicioso, comprometendo a autenticação de credenciais e potencialmente causando danos significativos.
CVE: Não foi fornecida uma CVE específica para essa vulnerabilidade.
MITRE ATT&CK: A técnica utilizada é semelhante à T1566.001 (Spearphishing Attachment), onde os atores ameaçadores obtêm credenciais de login de usuários.
APT: Não há informações disponíveis sobre a participação de um grupo APT específico nessa ação maliciosa.
