Trivy Təhlükəsizlik Skanneri GitHub Actions Pozuldu, 75 Tag Oğurlandı
Trivy Təhlükəsizlik Skannerinin GitHub Actions inteqrasiyasında təhlükəsizlik pozuntusu baş verib. Hücumçular 75 Git tagını ələ keçirərək CI/CD sirlərini oğurlamaq potensialı yaradıblar. Bu hadisə avtomatlaşdırılmış inkişaf iş axınlarındakı təchizat zənciri risklərini vurğulayır.
Trivy Təhlükəsizlik Skanneri GitHub Actions-da Təhlükəsizlik Pozuntusu
Populyar açıq mənbəli təhlükəsizlik skanneri Trivy-nin GitHub Actions inteqrasiyasında əhəmiyyətli bir təhlükəsizlik pozuntusu yaşanıb. Hücumçular Trivy-nin GitHub repozitoriyasına icazəsiz daxil olaraq 75 Git tagını ələ keçirib və manipulyasiya ediblər. Bu vəziyyət, davamlı inteqrasiya və davamlı çatdırılma (CI/CD) proseslərində istifadə olunan həssas sirlərin oğurlanması riskini ortaya çıxarıb.
Hadisənin Təfərrüatları
Əldə edilən məlumatlara görə, kiber hücumçular Trivy layihəsinə aid GitHub Actions mühitinə daxil olublar. Bu giriş sayəsində, proqram təminatı paylama zəncirinin kritik hissəsi olan Git tagları üzərində nəzarət əldə ediblər. 75 müxtəlif tagın ələ keçirilməsi, bu taglardan istifadə edən CI/CD iş axınlarının potensial olaraq təhlükəyə atıldığı anlamına gəlir. Hücumçuların əsas məqsədi, bu iş axınlarında saxlanılan və ya istifadə olunan CI/CD sirlərini (API açarları, etimadnamələr, tokenlər və s.) ələ keçirmək idi.
CI/CD sirləri, proqram təminatının inkişafı və yerləşdirilməsi proseslərində avtomatlaşdırılmış tapşırıqlar üçün istifadə olunan kritik etimadnamələrdir. Onların ələ keçirilməsi, hücumçulara mənbə kodu repozitoriyalarına, istehsal mühitlərinə və ya digər həssas sistemlərə giriş imkanı verə bilər.
E-poçtunuz sızdırılıb? Pulsuz yoxlayın — saniyələr içində nəticə.
İndi Yoxla →Potensial Təsir və Tövsiyələr
Bu pozuntuya məruz qalanlar, Trivy-nin ələ keçirilmiş taglarını birbaşa CI/CD boru kəmərlərində istifadə edən təşkilatlar və tərtibatçılardır. Zərərçəkmiş istifadəçilər üçün təcili tədbirlər görülməlidir:
- Qeydləri Nəzərdən Keçirin: Trivy GitHub Actions-ın istifadə olunduğu CI/CD iş axınlarının qeydlərini qeyri-adi fəaliyyətlər və ya icazəsiz giriş cəhdləri baxımından ətraflı nəzərdən keçirin.
- Sirləri Dəyişdirin: Trivy ilə birlikdə istifadə olunan bütün CI/CD sirlərini, API açarlarını, tokenləri və digər etimadnamələri dərhal dəyişdirin (rotate edin).
- Xüsusi Commit SHA-larına Bərkidin: GitHub Actions-da asılılıqları taglar yerinə müəyyən commit SHA-larına bərkidərək (pinləyərək) gələcəkdəki mümkün manipulyasiya risklərini azaldın. Bu, kodun bütövlüyünü təmin etmək üçün daha təhlükəsiz bir metoddur.
- Giriş Nəzarətlərini Gücləndirin: GitHub repozitoriyalarınız və CI/CD mühitləriniz üçün ən az imtiyaz prinsipini tətbiq edin və çoxfaktorlu identifikasiyanı (MFA) aktivləşdirin.
- Bütövlüyü Yoxlayın: İstifadə etdiyiniz Trivy versiyalarının və əlaqəli asılılıqların bütövlüyünü rəsmi mənbələrdən gələn yoxlama cəmləri (checksum) ilə yoxlayın.
Bu hadisə, proqram təminatının təchizat zənciri təhlükəsizliyinin əhəmiyyətini və xüsusilə avtomatlaşdırılmış inkişaf mühitlərindəki riskləri bir daha gözlər önünə sərmişdir. Tərtibatçıların və təşkilatların üçüncü tərəf asılılıqlarından istifadə edərkən maksimum diqqət göstərmələri və davamlı təhlükəsizlik yoxlamaları aparmaları kritik əhəmiyyət kəsb edir.
Mənbə
https://thehackernews.com/2026/03/trivy-security-scanner-github-actions.html