广泛的供应链攻击损害了琐碎的漏洞扫描程序

Trivy 是 Aqua Security 维护的一种广泛使用的漏洞扫描程序，在持续的供应链攻击中受到损害。 Trivy 维护者 Itay Shakury 证实，这次攻击几乎影响了扫描仪的所有版本。

攻击开始于周四凌晨，威胁行为者使用窃取的凭据将恶意依赖项强制推送到 trivy-action 和 setup-trivy 标签。 强制推送是一个覆盖默认安全机制的 Git 命令，允许攻击者覆盖现有提交。

Trivy 是一款深受开发者欢迎的工具，在 GitHub 上拥有 33,200 颗星。它用于检测开发和部署软件更新的管道中的漏洞和无意的硬编码身份验证秘密。 Trivy 的广泛使用意味着这种攻击可能会对软件开发社区和依赖它的组织产生深远的影响。

使用 Trivy 的开发人员和组织建议假设他们的管道受到损害并立即采取行动来保护他们的系统。这可能包括审查代码更改、扫描恶意依赖项以及实施强大的安全措施以减轻此供应链攻击的影响。

Trivy 妥协凸显了供应链安全的重要性以及在软件开发生态系统中保持警惕的必要性。随着攻击者越来越多地针对流行的工具和库，开发人员和组织实施强大的安全实践至关重要，包括定期审核、严格的版本控制和全面的安全测试。

此事件清楚地提醒人们，依赖第三方软件组件会带来风险，并且软件开发社区需要优先考虑网络安全和供应链弹性。通过采取主动措施来保护其软件供应链，组织可以更好地保护自己免受此类攻击的破坏性后果。

随着对此次攻击的调查继续进行，Trivy 维护者和更广泛的网络安全社区必须共同努力，了解此次攻击的全部范围，确定责任者，并采取强有力的措施来防止未来发生类似事件。 开发人员和组织必须保持警惕，随时了解最新的安全威胁和最佳实践，以确保其软件开发流程的完整性。