Descripción
Aquasecurity Trivy contiene una vulnerabilidad de código malicioso embebido que podría permitir a un atacante obtener acceso a todo el entorno de CI/CD, incluidos todos los tokens, claves SSH, credenciales de la nube, contraseñas de bases de datos y cualquier configuración sensible en memoria.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Esta vulnerabilidad implica un compromiso de la cadena de suministro en un producto que puede utilizarse en varios productos y entornos. Se deben seguir las indicaciones adicionales del fabricante para garantizar una remediación completa. Para más información, consulte github.com/advisories/GHSA-69fq-xp46-6x23
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2026-33634
Ver el texto original en inglés (CISA)
Aquasecurity Trivy Embedded Malicious Code Vulnerability
Aquasecurity Trivy contains an embedded malicious code vulnerability that could allow an attacker to gain access to everything in the CI/CD environment, including all tokens, SSH keys, cloud credentials, database passwords, and any sensitive configuration in memory.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: This vulnerability involves a supply‑chain compromise in a product that may be used across multiple products and environments. Additional vendor‑provided guidance must be followed to ensure full remediation. For more information, please see: https://github.com/advisories/GHSA-69fq-xp46-6x23 ; https://nvd.nist.gov/vuln/detail/CVE-2026-33634