您当前的位置: 首页 >> 新闻中心 >> 行业动态

Trivy 恶意版本篡改事件:供应链安全再受警示

2026-04-14
2026年3月19日, Trivy 官方通过 GitHub 披露了一起供应链被篡改事件。攻击者在发布恶意构件 v0.69.4 时植入代码,将敏感数据外发至未经授权的域名,导致凭证泄露及潜在恶意执行风险。该版本曾通过包管理器和 CI/CD 流程进入用户系统,随后被移除并吊销相关凭证。安全团队已建议用户回退至安全版本并轮换受影响的密钥。此次攻击凸显即使受信任的开发工具也可能成为攻击载体,引发业界对开源依赖安全边界的深刻讨论。事件由 Aqua Security 在 GitHub 讨论中公开。研究人员指出攻击者利用被盗代码签名凭证,伪造版本并通过正规发布渠道传播,影响范围包括通过 GitHub Actions 安装的 CI 环境。攻击链最终被发现后,维护团队立即撤回恶意构件、撤销密钥,并呼吁用户检查版本号、升级至最新安全发行版。此次危机凸显软件供应链零信任模式的紧迫性,促使组织在构建流水线中加入完整性校验与权限最小化措施。
企业在使用开源安全工具时需做好以下几点:对构建产出进行数字签名校验,仅在受信任的仓库获取凭证;在 CI/CD 流水线中限定权限,避免全局密钥泄露;定期审计第三方组件的完整性,并建立快速回滚机制;监控异常发布行为并启用自动化漏洞情报 feed。通过零信任原则加强供应链防护,可降低类似攻击的冲击。

【本文标签】

【责任编辑】版权所有

在线客服