Trivy - CVE-2026-33634
Date de publication :
Il s'agit d'une compromission de la chaîne d'approvisionnement logicielle de l'écosystème Trivy.
Trivy est un scanner de vulnérabilités open source pour conteneurs, systèmes de fichiers et pipelines CI/CD.
Des credentials compromis permettent à un attaquant de publier des artefacts malveillants sur les canaux de distribution officiels et de réécrire des tags Git existants vers des commits contenant du code de vol de credentials. Le code malveillant collecte secrets, tokens cloud et clés SSH puis les exfiltre vers un domaine contrôlé par l'attaquant.
Elle permet l'exécution de code arbitraire dans les environnements CI/CD et l'exfiltration massive de secrets.
Informations
La faille est activement exploitée : Oui
Un correctif existe : Oui
Une mesure de contournement existe : Oui
• Exécution de code arbitraire (à distance)
• Atteinte à la confidentialité des données
• Atteinte à l'intégrité des données
Exploitation
CWE-506 : Embedded Malicious Code
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Oui
Preuve de concept
Une preuve de concept est disponible en sources ouvertes.
Systèmes ou composants affectés
• Trivy version 0.69.4
• trivy-action versions 0.0.1 à 0.34.2
• setup-trivy versions 0.2.0 à 0.2.6 incluse (tag 0.2.6 compromis, depuis restauré)
• LiteLLM versions 1.82.7 et 1.82.8
Contournement provisoire
• Désinstaller immédiatement les versions 1.82.7 et 1.82.8, vérifier la présence du fichier litellm_init.pth dans le répertoire site-packages, révoquer l'ensemble des secrets et identifiants accessibles depuis l'environnement compromis, et surveiller tout trafic sortant vers models.litellm[.]cloud et checkmarx[.]zone.
Solutions ou recommandations
• trivy-action version 0.35.0 et supérieures.
• setup-trivy version 0.2.6 recréée saine et supérieures.
• LiteLLM version 1.82.9 et supérieures.