CISA Adds One Known Exploited Vulnerability to Catalog
CISA has added one new vulnerability to its Known Exploited Vulnerabilities (KEV) Catalog, based on evidence of active exploitation. CVE-2026-33634 Aqua Security Trivy Embedded Malicious Code Vulnerability This type of vulnerability is a frequent attack vector for malicious cyber actors and poses...
CISA hat CVE-2026-33634 in den KEV-Katalog aufgenommen. Betroffen ist Aqua Security Trivy mit einer Schwachstelle durch eingebetteten bösartigen Code. Die Aufnahme basiert auf aktiver Ausnutzung.
Organisationen, die Aqua Security Trivy einsetzen.
Ein Sicherheitstool mit eingebettetem bösartigem Code kann besonders kritisch sein, weil es häufig in CI/CD- und Sicherheitsprozessen mit erhöhtem Vertrauen läuft.
Realistischer Worst Case ist die Ausführung bösartigen Codes in Umgebungen, in denen Trivy betrieben wird, etwa Build- oder Security-Pipelines.
Trivy-Installationen inventarisieren, Versionen gegen CVE-2026-33634 prüfen und betroffene Komponenten aus Pipelines entfernen oder aktualisieren.
- ▸Prüfen, wo Trivy in CI/CD-, Container-Scanning- und Sicherheitsprozessen eingesetzt wird.
- ▸Validieren, ob Hashes, Signaturen und Bezugsquellen für Trivy-Binaries und Images überprüft werden.
- ▸Überprüfen, ob Build-Logs, Netzwerkverbindungen und Secrets-Zugriffe rund um Trivy-Ausführungen verdächtige Aktivitäten zeigen.
| Taktik | Technik | Konfidenz | Beleg |
|---|---|---|---|
| Initial Access | T1195 Supply Chain Compromise | Medium | Der Artikel beschreibt eingebetteten bösartigen Code in Aqua Security Trivy. |
- Betroffene Trivy-Versionen sind nicht im Artikel angegeben.
- Art und Funktion des eingebetteten bösartigen Codes sind nicht im Artikel angegeben.
- IOCs sind nicht im Artikel angegeben.