CVE-2026-33634
Açıklama
Trivy bir güvenlik tarayıcısıdır. 19 Mart 2026 tarihinde bir tehdit aktörü, ele geçirilmiş kimlik bilgilerini kullanarak kötü amaçlı bir Trivy v0.69.4 sürümü yayınlamış, `aquasecurity/trivy-action` içerisindeki 77 versiyon etiketinden 76'sını kimlik bilgisi çalan bir kötü amaçlı yazılıma zorla itmiş (force-push) ve `aquasecurity/setup-trivy` içerisindeki tüm 7 etiketi kötü amaçlı commit'lerle değiştirmiştir. Bu olay, Şubat 2026 sonlarında başlayan tedarik zinciri saldırısının devamıdır. 1 Mart tarihindeki ilk ifşanın ardından kimlik bilgileri rotasyonu gerçekleştirilmiş ancak bu işlem atomik olmamıştır (tüm kimlik bilgileri aynı anda iptal edilmemiştir). Saldırgan, rotasyon penceresi sırasında (birkaç gün sürmüştür) yeni döndürülen gizli bilgileri sızdırmak için geçerli bir belirteç (token) kullanmış olabilir. Bu durum, saldırganın erişimini korumasına ve 19 Mart saldırısını gerçekleştirmesine olanak sağlamış olabilir. Etkilenen bileşenler arasında `aquasecurity/trivy` Go / Konteyner imajı versiyon 0.69.4, `aquasecurity/trivy-action` GitHub Action versiyonları 0.0.1 – 0.34.2 (76/77) ve güvenli bir commit ile yeniden oluşturulmadan önceki `aquasecurity/setup-trivy` GitHub Action versiyonları 0.2.0 – 0.2.6 yer almaktadır. Bilinen güvenli sürümler arasında Trivy ikili dosyasının 0.69.2 ve 0.69.3 versiyonları, trivy-action'ın 0.35.0 versiyonu ve setup-trivy'nin 0.2.6 versiyonu bulunmaktadır. Ek olarak, gizli bilgilerin güvenliğini sağlamak için diğer azaltım önlemleri alınmalıdır. Ortamda ele geçirilmiş bir sürümün çalıştırılmış olma ihtimali varsa, etkilenen boru hatlarının (pipelines) erişebildiği tüm gizli bilgiler ifşa olmuş kabul edilmeli ve derhal döndürülmelidir. Kuruluşun herhangi bir kaynaktan Trivy v0.69.4 sürümünü çekip çekmediği veya çalıştırıp çalıştırmadığı kontrol edilmelidir. Etkilenen tüm artefaktlar derhal kaldırılmalıdır. `aquasecurity/trivy-action` veya `aquasecurity/setup-trivy` kullanan tüm iş akışları gözden geçirilmelidir. Tam bir commit SHA yerine versiyon etiketi referans alanlar, 19–20 Mart 2026 tarihli iş akışı çalışma günlüklerini ihlal belirtileri açısından kontrol etmelidir. GitHub kuruluşunda `tpcp-docs` isimli depolar olup olmadığına bakılmalıdır. Böyle bir deponun varlığı, yedek sızdırma mekanizmasının tetiklendiğini ve gizli bilgilerin başarıyla çalındığını gösterebilir. GitHub Action'lar tam ve değişmez commit SHA özetlerine sabitlenmeli, değişken versiyon etiketleri kullanılmamalıdır.
Nasıl düzeltilir
Üreticinin önerdiği önlemleri uygulayın. Önlem yoksa ürünü kullanmayı bırakın.
CISA son tarihi: 9 Nis 2026- aquasec setup-trivy0.2.6 ya da sonraki bir sürüm
- aquasec trivy_action0.35.0 ya da sonraki bir sürüm
- aquasecurity/trivy-action0.35.0 ya da sonraki bir sürüm
- aquasecurity/setup-trivy0.2.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| aquasec setup-trivy | v < 0.2.6 | 0.2.6 |
| aquasec trivy | 0.69.4 | — |
| aquasec trivy_action | v < 0.35.0 | 0.35.0 |
| litellm litellm | 1.82.7, 1.82.8 | — |
| telnyx telnyx | 4.87.1, 4.87.2 | — |
| github.com/aquasecurity/trivyGo | Aralık belirtilmemiş, 0.69.4 ≤ v | — |
| aquasecurity/trivy-actionGitHub Actions | v < 0.35.0 | 0.35.0 |
| aquasecurity/setup-trivyGitHub Actions | v < 0.2.6 | 0.2.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.