CVE-2026-33634CISA KEV · АКТИВНО В АТАКАХ
Trivy ecosystem supply chain briefly compromised
CVSS 3.1Critical
9.4/ 10.0
Опубликовано
Обновлено
В атаках
Подтверждено CISA
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 0.2.6, 0.35.0
Зафиксируйте зависимости CI/CD на доверенные SHA-хеши коммитов, проведите полную ротацию всех CI/CD-секретов и выполните аудит журналов пайплайнов.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Компрометация цепочки поставок инструментов сканера Trivy через кражу учетных данных. Злоумышленники внедрили вредоносный код в релизы и теги GitHub Actions.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Точка входа — скомпрометированные токены доступа мейнтейнеров. Из-за неатомарной ротации учетных данных атакующий перехватил новые секреты во временном окне и подменил 76 тегов в aquasecurity/trivy-action, 7 тегов в aquasecurity/setup-trivy и опубликовал релиз Trivy v0.69.4.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Массовая кража секретов, переменных окружения и токенов доступа из CI/CD-пайплайнов пользователей, запускавших скомпрометированные экшены и релиз.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
aquasecuritysetup-trivy
все ранние➔Fix: 0.2.6
aquasecuritytrivy-action
все ранние➔Fix: 0.35.0
BerriAILiteLLM
>= 1.82.7➔Патч не выпущен
team-telnyxtelnyx
>= 4.87.1➔Патч не выпущен
——
>= 0.69.4➔Патч не выпущен
——
>= 0➔Fix: 0.35.0
——
>= 0➔Fix: 0.2.6
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (10)
- github.comhttps://github.com/aquasecurity/trivy/security/advisories/GHSA-69fq-xp46-6x23
- github.comhttps://github.com/team-telnyx/telnyx-python/security/advisories/GHSA-955r-262c-33jc
- github.comhttps://github.com/BerriAI/litellm/issues/24518
- docs.litellm.aihttps://docs.litellm.ai/blog/security-update-march-2026
- futuresearch.aihttps://futuresearch.ai/blog/litellm-pypi-supply-chain-attack
- github.comhttps://github.com/aquasecurity/trivy/discussions/10425
- github.comhttps://github.com/pypa/advisory-database/tree/main/vulns/litellm/PYSEC-2026-2.yaml
- inspector.pypi.iohttps://inspector.pypi.io/project/litellm/1.82.7/packages/79/5f/b6998d42c6ccd32d36e12661f2734602e72a576d52a51f4245aef0b20b4d/litellm-1.82.7-py3-none-any.whl/litellm/proxy/proxy_server.py#line.130
- inspector.pypi.iohttps://inspector.pypi.io/project/litellm/1.82.8/packages/f6/2c/731b614e6cee0bca1e010a36fd381fba69ee836fe3cb6753ba23ef2b9601/litellm-1.82.8.tar.gz/litellm-1.82.8/litellm_init.pth#line.1
- www.wiz.iohttps://www.wiz.io/blog/teampcp-attack-kics-github-action
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-33634: Trivy ecosystem supply chain briefly compromised. URL: https://cve.futuretools.ru/cve/CVE-2026-33634
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_33634,
title = {{CVE-2026-33634: Trivy ecosystem supply chain briefly compromised}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-33634}},
note = {Оперативный инженерный анализ киберугроз}
}