PT-2026-27246 · Aqua Security · Aquasecurity/Setup-Trivy+2
Clundquist-Stripe
·
Publicado
2026-03-23
·
Atualizado
2026-05-28
·
CVE-2026-33634
CVSS v4.0
9.4
Crítica
| Vetor | AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H |
Nome do Software Vulnerável e Versões Afetadas
aquasecurity/trivy versão 0.69.4
aquasecurity/trivy versões 0.69.5 a 0.69.6
aquasecurity/trivy-action versões 0.0.1 a 0.34.2
aquasecurity/setup-trivy versões 0.2.0 a 0.2.6
Description
Ocorreu um ataque à cadeia de suprimentos no qual um ator de ameaça utilizou credenciais comprometidas para publicar versões maliciosas do scanner de segurança Trivy e suas GitHub Actions associadas. O invasor publicou um lançamento malicioso do binário e da imagem de container do Trivy, e realizou force-push de commits maliciosos em tags de versão das ações
aquasecurity/trivy-action e aquasecurity/setup-trivy. O código malicioso funciona como um infostealer que é executado antes da varredura legítima, despejando a memória do processo Runner.Worker via /proc/<pid>/mem e vasculhando o sistema de arquivos em busca de chaves SSH, credenciais de nuvem (AWS, GCP, Azure), tokens do Kubernetes, configurações do Docker, arquivos .env, credenciais de banco de dados e carteiras de criptomoedas. Os dados roubados são criptografados usando AES-256-CBC com criptografia híbrida RSA-4096 e transmitidos para a infraestrutura controlada pelo invasor. Se a exfiltração primária falhar e a variável INPUT GITHUB PAT estiver configurada, o malware cria um repositório público chamado tpcp-docs na conta do GitHub da vítima para fazer o upload dos dados roubados. Esta campanha afetou mais de 1.000 ambientes SaaS, incluindo a plataforma Europa da Comissão Europeia no AWS.Recommendations
Atualize o aquasecurity/trivy para a versão 0.69.2 ou 0.69.3.
Atualize o aquasecurity/trivy-action para a versão 0.35.0, ou use tags com prefixo
v (ex: v0.34.0) para versões anteriores a 0.35.0.
Atualize o aquasecurity/setup-trivy para a versão 0.2.6.
Rotacione imediatamente todos os segredos acessíveis aos pipelines afetados caso uma versão comprometida tenha sido executada.
Remova quaisquer artefatos afetados do Trivy v0.69.4 do ambiente.
Revise os logs de execução de fluxos de trabalho de 19 a 20 de março de 2026 para quaisquer workflows que utilizem aquasecurity/trivy-action ou aquasecurity/setup-trivy que referenciem tags de versão em vez de SHAs de commit completos.
Verifique a presença de repositórios chamados tpcp-docs na organização do GitHub.
Fixe as GitHub Actions em hashes SHA de commit completos e imutáveis em vez de usar tags de versão mutáveis.Exploit
Correção
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Trivy
Aquasecurity/Setup-Trivy
Aquasecurity/Trivy-Action