Supply-Chain-Angriff auf Trivy, trivy-action und setup-trivy

Zusammenfassung

Am 19. März 2026 veröffentlichte ein Angreifer mit gestohlenen Credentials eine manipulierte Trivy v0.69.4 sowie bösartige Commits in den GitHub Actions aquasecurity/trivy-action und aquasecurity/setup-trivy. Die Attacke baut auf dem initialen Supply-Chain-Angriff auf, der Ende Februar 2026 begann. Die Credential-Rotation nach der ersten Offenlegung am 1. März war nicht atomar, sodass der Angreifer während des Rotationsfensters Secrets exfiltrieren und sich dauerhaften Zugriff verschaffen konnte.

Technische Details

Der Angreifer nutzte kompromittierte Credentials, um folgende Aktionen durchzuführen:

• Trivy v0.69.4: Veröffentlichung eines manipulierten Go-Binaries und Container-Images unter der offiziellen Release
• trivy-action: Force-Push von 76 von 77 Versionstags (0.0.1 – 0.34.2) mit Credential-stealing-Malware
• setup-trivy: Ersetzung aller 7 Tags (0.2.0 – 0.2.6) durch schädliche Commits

Die Credential-Rotation nach dem initialen Vorfall war nicht atomar – nicht alle Credentials wurden gleichzeitig widerrufen. Dadurch konnte der Angreifer während des Rotationsfensters (mehrere Tage) gültige Tokens nutzen, um neu rotierte Secrets abzugreifen und sich dauerhaften Zugang zu verschaffen.

Ein Indikator für eine Kompromittierung ist das Auftauchen eines Repositories namens tpcp-docs in der GitHub-Organisation des Opfers. Dies deutet darauf hin, dass der Fallback-Exfiltration-Mechanismus ausgelöst wurde.

Die Attacke steht im Zusammenhang mit der Kompromittierung der PyPI-Pakete telnyx und LiteLLM, die über denselben Angriffsvektor erfolgte.

Betroffene Systeme

Komponente	Betroffene Versionen	Sichere Versionen
aquasecurity/trivy (Binary/Container)	0.69.4	0.69.2, 0.69.3
aquasecurity/trivy-action (GitHub Action)	0.0.1 – 0.34.2	≥ 0.35.0
aquasecurity/setup-trivy (GitHub Action)	0.2.0 – 0.2.6	≥ 0.2.6 (neu erstellter Commit)
team-telnyx/telnyx-python (PyPI)	4.87.1 – 4.87.2	–
BerriAI/LiteLLM (PyPI)	1.82.7 – 1.82.8	–

Empfehlungen und Maßnahmen

1. Sofortiges Handeln: Falls eine kompromittierte Version in der eigenen Umgebung ausgeführt wurde, müssen alle Secrets, auf die betroffene Pipelines Zugriff hatten, als kompromittiert betrachtet und sofort rotiert werden.

2. Artefakte entfernen: Prüfen, ob Trivy v0.69.4 aus irgendeiner Quelle bezogen oder ausgeführt wurde. Entfernen Sie betroffene Artefakte umgehend.

3. Workflows überprüfen: Alle Workflows, die aquasecurity/trivy-action oder aquasecurity/setup-trivy verwenden, müssen auf Kompromittierung geprüft werden. Bei Verwendung von Versionstags (statt vollständiger Commit-SHA) sollten die Logs vom 19.–20. März 2026 auf Anomalien untersucht werden.

4. Repository-Prüfung: Suchen Sie in Ihrer GitHub-Organisation nach Repositories mit dem Namen tpcp-docs. Dessen Vorhandensein deutet auf erfolgreiche Secret-Exfiltration hin.

5. Prävention: GitHub Actions sollten ausschließlich mit vollständigen, unveränderlichen Commit-SHAs referenziert werden. Verwenden Sie keine mutierbaren Versionstags.

Quellen

• GitHub Security Advisory – Trivy (GHSA-69fq-xp46-6x23)
• GitHub Security Advisory – telnyx-python (GHSA-955r-262c-33jc)
• LiteLLM Security Issue
• LiteLLM Security Update März 2026
• FutureSearch – LiteLLM PyPI Supply Chain Attack
• Trivy Diskussion
• PyPI Advisory Database – LiteLLM
• PyPI Inspector – LiteLLM 1.82.7
• PyPI Inspector – LiteLLM 1.82.8
• Wiz Research – TeamPC/P-Angriff auf KICS GitHub Action