Критическая уязвимость в сканере Aquasecurity Trivy не включена в каталог известных эксплуатируемых уязвимостей CISA

Американское Агентство по кибербезопасности и инфраструктурной безопасности (CISA) ведет каталог известных эксплуатируемых уязвимостей (KEV), однако уязвимость, обнаруженная в популярном инструменте для сканирования контейнеров и инфраструктуры — Trivy от компании Aquasecurity, не включена в данный каталог на момент публикации. Эта уязвимость, зарегистрированная под идентификатором CVE-2023-33634, затрагивает версии Trivy до 0.42.0 и может представлять серьезную угрозу для безопасности процессов непрерывной интеграции и доставки (CI/CD). Подробнее о CVE-2023-33634 можно ознакомиться в официальном GitHub-репозитории Trivy: https://github.com/aquasecurity/trivy/security/advisories/GHSA-2m7h-7j3m-6v59

Trivy широко используется для автоматического обнаружения уязвимостей и ошибок конфигурации в контейнерах и коде, что делает его неотъемлемой частью многих DevOps-процессов. Обнаруженная уязвимость связана с некорректной обработкой шаблонов в режиме сканирования инфраструктуры, что может привести к обходу ограничений безопасности при определенных условиях эксплуатации.

Суть уязвимости и ее последствия

Уязвимость CVE-2023-33634 связана с недостаточной проверкой шаблонов в модуле сканирования инфраструктуры Trivy, что позволяет злоумышленникам обойти ограничения безопасности (bypass) при наличии определенных прав доступа. Вектор атаки требует, чтобы злоумышленник имел возможность взаимодействовать с системой, где запущен Trivy, например, через CI/CD-процессы, но не предоставляет прямого удаленного выполнения кода или полного контроля над системой.

Возможные последствия эксплуатации уязвимости включают:

• Потенциальное внедрение некорректных или вредоносных данных в процессы сканирования
• Нарушение целостности результатов проверки безопасности
• Повышенный риск компрометации процессов CI/CD при отсутствии дополнительных мер защиты

Для организаций, использующих Trivy в своих конвейерах разработки, это означает необходимость своевременного обновления и усиления контроля доступа, чтобы снизить риски, связанные с данной уязвимостью.

Почему это важно для управления внешней атакующей поверхностью

Современные организации все активнее применяют DevOps-подходы и автоматизацию для ускорения выпуска продуктов. При этом CI/CD-среды становятся привлекательной мишенью для злоумышленников, поскольку контроль над этими процессами позволяет внедрять вредоносные изменения на самых ранних этапах.

Уязвимости в инструментах, таких как Trivy, расширяют внешнюю атакующую поверхность компании, создавая дополнительные точки входа для атак. Это особенно критично для организаций, которые не имеют полного обзора и контроля над используемыми в разработке компонентами и инструментами.

Вовремя выявлять и устранять уязвимости в цепочке поставок программного обеспечения крайне важно для поддержания безопасности и устойчивости бизнес-процессов.

Практические рекомендации для команд безопасности

• Немедленно обновите Trivy до версии 0.42.1 или выше, в которой уязвимость устранена. Следите за официальными релизами Aquasecurity и публикациями в GitHub Advisory.
• Проведите аудит текущих CI/CD-процессов на предмет использования уязвимых версий Trivy и других инструментов.
• Реализуйте сегментацию и ограничение доступа к CI/CD-средам, чтобы минимизировать последствия возможного компрометации.
• Внедрите мониторинг и логирование активности в конвейерах разработки для своевременного обнаружения подозрительных действий.
• Обучайте команды разработки и безопасности вопросам безопасного использования DevOps-инструментов и практикам управления уязвимостями.
• Интегрируйте управление внешней атакующей поверхностью (EASM) для выявления и контроля всех используемых в организации компонентов и сервисов, включая сторонние инструменты и библиотеки.

В условиях постоянного роста числа атак на цепочки поставок программного обеспечения, своевременное обнаружение и устранение подобных уязвимостей является ключевым элементом стратегии кибербезопасности компании. Управление внешней атакующей поверхностью помогает организациям поддерживать прозрачность и контроль над используемыми технологиями, снижая риски и повышая устойчивость к угрозам.

---