CI/CDワークフローでTrivyスキャンを実行するためのGitHub Actionと、スキャナーをインストールするためのヘルパーアクションであるsetup-trivyが、複数のコンポーネントから攻撃を受けました。
攻撃者は、バイナリ自体を含むプロジェクトの3つのコンポーネントを侵害しました。
現在、「trivy-action」（Trivy）のバージョンタグが悪意のあるコードで上書きされています。
Dockerはこのツールを使用して、パイプラインイメージとコンテナの脆弱性を検出するために広く利用しています。
コメント