Trivy est un scanner de vulnérabilités, secrets et d'infrastructure (voir par exemple cette page pour plus de détails). Il est notamment utilisé (manuellement) pour vérifier les conteneurs epub/img de LinuxFr.org. Et l'ironie de l'histoire est qu'il sert à sécuriser sa chaîne d'approvisionnement logicielle normalement.
TL;DR: Almost exactly one year after the tj-actions/changed-files compromise, history repeats. Twenty days after the February Pwn Request on Trivy that we covered in our previous report, the attacker regained access to the Aqua Security org (through a vector still under investigation) and weaponized the aqua-bot service account. On March 19, 2026, poisoned v0.69.4 releases of Trivy were pushed through GitHub Releases, Docker registries, and 75 of 76 tags on the trivy-action GitHub Action.
# Trivy ?
Posté par Benoît Sibaud (site web personnel) . Évalué à 3 (+0/-0). Dernière modification le 21 mars 2026 à 15:42.
Trivy est un scanner de vulnérabilités, secrets et d'infrastructure (voir par exemple cette page pour plus de détails). Il est notamment utilisé (manuellement) pour vérifier les conteneurs epub/img de LinuxFr.org. Et l'ironie de l'histoire est qu'il sert à sécuriser sa chaîne d'approvisionnement logicielle normalement.
en anglais:
épisode 1
https://labs.boostsecurity.io/articles/megagame10418-the-user-behind-hackerbot-claw/
épisode 2
https://labs.boostsecurity.io/articles/20-days-later-trivy-compromise-act-ii/
côté Trivy :
https://web.archive.org/web/20260306133317/https://github.com/aquasecurity/trivy/discussions/10265
https://github.com/aquasecurity/trivy/discussions/10425
CVE existantes :
Envoyer un commentaire
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.