👇 Продолжаем рассказывать про обнаруженные уязвимости

В марте 2026 года зафиксировано сразу две критические атаки на цепочку поставок в open-source-экосистеме. Первая затрагивает сканер уязвимостей Trivy, вторая — Python-пакет LiteLLM.

Trivy (Aqua Security)

19 марта злоумышленники скомпрометировали релизы Trivy, Docker-образы и GitHub Actions (trivy-action и setup-trivy), внедрив стилер для кражи конфиденциальных данных. 22 марта компания Aqua Security подтвердила публикацию вредоносных Docker-образов версий 0.69.5 и 0.69.6, после чего удалила вредоносные релизы.

Стилер собирал различные секреты, характерные для CI/CD-систем: API-токены, SSH-ключи, Kubernetes-токены, конфигурационные файлы Docker, учетные данные от Git, — и создавал архив, который затем направлял на подконтрольный атакующим сервер scan.aquasecurity[.]org. Если данные отправить не получалось, то создавался публичный репозиторий tpcp-docs в GitHub одной из жертв и туда загружался архив с украденными данными.
Затронутые версии и безопасные обновления:
— aquasecurity/setup-trivy (GitHub Actions) — ниже 0.2.6 → 0.2.6;
— aquasecurity/trivy-action (GitHub Actions) — ниже 0.35.0 → 0.35.0;
— github.com/aquasecurity/trivy — 0.69.4, 0.69.5, 0.69.6 → 0.69.3.

LiteLLM (PyPI)

В версии 1.82.7 и 1.82.8 Python-пакета LiteLLM был внедрен вредоносный код. В первой версии код выполнялся при импорте, во второй использовался файл с расширением .pth, который запускается при старте любого Python-процесса.

Стилер собирал критичные данные: SSH-ключи, API-токены, файлы с расширением .env, kubeconfig и cloud credentials. Данные могли отправляться на C2-серверы, а также реализовывался persistence, что позволяло закрепиться в инфраструктуре и атаковать другие компоненты, включая Kubernetes.

Риски обеих атак:

🔵Утечка секретов и токенов CI/CD.
🔵Компрометация build-инфраструктуры и контейнеров.
🔵Возможность lateral movement внутри инфраструктуры.

Что делать

1️⃣Проверить версии Trivy и GitHub Actions (setup-trivy, trivy-action) и LiteLLM (pip show litellm).
2️⃣Немедленно обновить до безопасных версий: Trivy → 0.69.3, setup-trivy → 0.2.6, trivy-action → 0.35.0, LiteLLM ≤1.82.6.
3️⃣Ротировать все секреты, использовавшиеся в затронутых пайплайнах и Python-окружениях.
4️⃣Проверить GitHub на наличие публичного репозитория tpcp-docs.
5️⃣Заблокировать на периметре и в СЗИ индикаторы компрометации Trivy:
scan.aquasecurity[.]org
45.148.10[.]212
tdtqy-oyaaa-aaaae-af2dq-cai.raw.icp0[.]io
6️⃣Анализировать сетевую активность Python-процессов и CI/CD runners на подозрительные обращения.
7️⃣Минимизировать привилегии CI/CD-токенов и ограничить доступ к Kubernetes и Docker.