Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-506

CVE-2026-33634

Trivy tedarik zinciri saldırısı: zararlı Trivy 0.69.4, trivy-action ve setup-trivy

aquasecurity setup-trivyAquasecurity Trivyaquasecurity trivy-action

Kritik 9,4 CVSS 4.0
Yayımlandı
Güncellendi
30 Mar 2026
Açık yaşı
218 gün
Kaydı açan
GitHub_M
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 26 Mar 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 9 Nis 2026.

Yönetici özeti

Yaygın kullanılan bir güvenlik tarama aracının yazılım dağıtım zinciri ele geçirildi ve zararlı sürümler yayımlandı. Bu sürümler çalıştıysa, yazılım geliştirme ve dağıtım süreçlerindeki tüm şifreler ve anahtarlar çalınmış sayılmalıdır. Vaka aktif olarak istismar edildiği için hızlı inceleme ve gizli bilgilerin yenilenmesi gerekir.

ÖzetTürkçe

19 Mart 2026'da bir saldırgan, ele geçirilmiş kimlik bilgileriyle zararlı Trivy v0.69.4 sürümünü yayımladı. Ayrıca etiketlerinin 77'sinden 76'sını ve içindeki 7 etiketin tamamını kimlik bilgisi çalan kötü amaçlı kodlara yönlendirdi. Olay, Şubat 2026 sonunda başlayan tedarik zinciri saldırısının devamıdır; kimlik bilgisi yenileme işlemi eşzamanlı yapılmadığı için saldırgan erişimini sürdürmüş olabilir. Trivy 0.69.4 (Go / konteyner imajı), trivy-action 0.0.1–0.34.2 ve setup-trivy 0.2.0–0.2.6 (yeniden oluşturulmadan önceki hali) etkilenir. CI/CD hatlarında bu bileşenleri kullanan herkes risk altındadır.

Saldırgan ne yapabilir?

Zararlı sürümler CI/CD hattında erişilebilen gizli bilgileri (token, anahtar, parola vb.) çalabilir. Bu bilgilerle saldırgan depolara, bulut ortamlarına ve diğer sistemlere yetkisiz erişim sağlayabilir.

Kaynaktaki açıklama (İngilizce)

Trivy is a security scanner. On March 19, 2026, a threat actor used compromised credentials to publish a malicious Trivy v0.69.4 release, force-push 76 of 77 version tags in aquasecurity/trivy-action to credential-stealing malware, and replace all 7 tags in aquasecurity/setup-trivy with malicious commits. This incident is a continuation of the supply chain attack that began in late February 2026. Following the initial disclosure on March 1, credential rotation was performed but was not atomic (not all credentials were revoked simultaneously). The attacker could have use a valid token to exfiltrate newly rotated secrets during the rotation window (which lasted a few days). This could have allowed the attacker to retain access and execute the March 19 attack. Affected components include the aquasecurity/trivy Go / Container image version 0.69.4, the aquasecurity/trivy-action GitHub Action versions 0.0.1 – 0.34.2 (76/77), and theaquasecurity/setup-trivy GitHub Action versions 0.2.0 – 0.2.6, prior to the recreation of 0.2.6 with a safe commit. Known safe versions include versions 0.69.2 and 0.69.3 of the Trivy binary, version 0.35.0 of trivy-action, and version 0.2.6 of setup-trivy. Additionally, take other mitigations to ensure the safety of secrets. If there is any possibility that a compromised version ran in one's environment, all secrets accessible to affected pipelines must be treated as exposed and rotated immediately. Check whether one's organization pulled or executed Trivy v0.69.4 from any source. Remove any affected artifacts immediately. Review all workflows using aquasecurity/trivy-action or aquasecurity/setup-trivy. Those who referenced a version tag rather than a full commit SHA should check workflow run logs from March 19–20, 2026 for signs of compromise. Look for repositories named tpcp-docs in one's GitHub organization. The presence of such a repository may indicate that the fallback exfiltration mechanism was triggered and secrets were successfully stolen. Pin GitHub Actions to full, immutable commit SHA hashes, don't use mutable version tags.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. Zararlı Trivy v0.69.4 sürümünü herhangi bir kaynaktan çekip çalıştırıp çalıştırmadığınızı kontrol edin ve etkilenen yapıtları (binary, konteyner imajı) hemen kaldırın. Bilinen güvenli Trivy sürümleri 0.69.2 ve 0.69.3'tür. Üretici
  2. Zararlı bir sürümün ortamınızda çalışma ihtimali varsa, etkilenen hatlardan erişilebilen tüm gizli bilgileri ele geçirilmiş kabul edip derhal yenileyin; yenileme sırasında eski kimlik bilgilerinin hepsini aynı anda iptal edin. Üretici
  3. CISA gereği: üretici talimatlarına göre azaltımları uygulayın, bulut hizmetleri için ilgili BOD 22-01 yönergelerini izleyin; azaltım mümkün değilse ürünün kullanımını bırakın. CISA

Ek önlemler

  • GitHub Actions bağımlılıklarını değiştirilebilir sürüm etiketleri yerine tam ve değiştirilemez commit SHA değerlerine sabitleyin. Üretici
  • CI/CD hatlarına verilen gizli bilgilerin yetkilerini asgari düzeyde tutun ve kısa ömürlü kimlik bilgileri kullanın. Genel öneri
  • Depo ve kuruluş denetim kayıtlarında olağandışı yeni depo oluşturma ve beklenmedik dışarı veri çıkışı hareketlerini izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler5 yazılım

YazılımEtkilenenDüzeltildiği sürüm
aquasecurity setup-trivy < 0.2.6 0.2.6
Aquasecurity Trivy Sürüm belirtilmemiş –
aquasecurity trivy-action < 0.35.0 0.35.0
BerriAI LiteLLM Sürüm belirtilmemiş –
team-telnyx telnyx Sürüm belirtilmemiş –

Kaynaklar12 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.