The Apache Software Foundation Blog
·
Trivy安全事件初步报告
内容提要
2026年3月19日，Trivy漏洞扫描器版本0.69.4遭遇安全事件，含恶意代码，可能窃取GitHub Secrets中的凭证。ASF项目受影响，已暂停所有“验证创建者”操作，正在调查是否有机密泄露。
关键要点
-
2026年3月19日，Trivy漏洞扫描器版本0.69.4遭遇安全事件，含恶意代码。
-
恶意代码可能窃取GitHub Secrets中的凭证。
-
受影响的ASF项目已暂停所有“验证创建者”操作，正在调查是否有机密泄露。
-
少数ASF项目在其构建工作流中使用了trivy GitHub Action。
-
ASF基础设施和安全团队正在调查是否有机密和Git仓库被泄露。
-
受影响的ASF项目可以通过Jira提交工单，或在Slack的#asfinfra频道讨论。
延伸解读
安全事件的影响
Trivy漏洞扫描器的安全事件可能对使用该工具的ASF项目造成严重影响。由于恶意代码的存在，项目的构建工作流可能会出现失败，开发者需要及时调整工作流以避免潜在的安全风险。
应对措施与建议
ASF项目已暂停所有“验证创建者”操作，开发者应关注项目的最新动态，并通过Jira提交工单或在Slack讨论，以确保及时获取信息和支持。这一措施虽然影响了项目的正常运作，但有助于保护机密信息。
潜在的风险与后果
此次事件中，恶意代码可能导致GitHub Secrets中的凭证被窃取，开发者需警惕潜在的安全漏洞。建议对项目的安全性进行全面审查，确保没有其他未被发现的风险。
延伸问答
Trivy漏洞扫描器的安全事件发生在什么时候？
2026年3月19日。
Trivy版本0.69.4的安全事件涉及哪些恶意行为？
该版本含有恶意代码，可能窃取GitHub Secrets中的凭证。
受Trivy安全事件影响的项目采取了什么措施？
受影响的ASF项目已暂停所有“验证创建者”操作，并正在调查是否有机密泄露。
如何报告与Trivy安全事件相关的问题？
受影响的ASF项目可以通过Jira提交工单，或在Slack的#asfinfra频道讨论。
Trivy安全事件对构建工作流有什么影响？
可能导致构建失败，需要项目通过Infra GHA审批流程请求添加新版本的操作。
ASF基础设施和安全团队在调查什么？
他们正在调查是否有机密和Git仓库被泄露。
