Новости: CI/CD

Shannon Lite, автономный инструмент для тестирования на проникновение с белым ящиком от Keygraph, выпустил версию 1.2.0 с обновлением модели до Claude Opus 4.7. Это требует регистрации в программе верификации Anthropic из-за новых мер безопасности. — techtimes.com

Исследователи безопасности предупреждают о критической уязвимости с максимальным уровнем серьезности в Google Gemini CLI, которая может привести к удаленному выполнению кода (RCE) при обработке недоверенных данных. Проблема затрагивает пакет @google/gemini-cli и GitHub Action. — csoonline.com

22 апреля вредоносная версия CLI Bitwarden появилась в npm под официальным именем пакета. В течение 93 минут пользователи получали бэкдоренную замену легитимному инструменту. Bitwarden удалил пакет, не найдя следов доступа к данным хранилищ. Атака нацеливалась на токены GitHub, AWS и другие учетные данные. — cryptoslate.com

Интерфейс Python для LLM заражен вредоносным ПО через скомпрометированный конвейер CI/CD. Удалены версии LiteLLM из-за кражи учетных данных. — theregister.com

Злоумышленники скомпрометировали сканер уязвимостей Trivy, внедрив вредоносное ПО для кражи учетных данных в релизы и GitHub Actions. Взлом может вызвать каскад атак на цепочку поставок, если организации не сменят секреты. — csoonline.com

Устали от устаревшего интерфейса Планировщика заданий? Этот переработанный в стиле Fluent получил крупное обновление с поддержкой ARM и более умной организацией задач. Читайте далее… — neowin.net

Мнение: Небрежные крупные пользователи относятся к FOSS-репозиториям как к сетям доставки контента. Репозитории открытого исходного кода перегружены, и им нужна многоуровневая система оплаты. — theregister.com

Анализ показывает, что стандартная Система оценки общих уязвимостей (CVSS) не отражает реальный операционный риск. Серьёзность уязвимостей, таких как Log4Shell, определяется не только техническими баллами, но и контекстом их распространения через доверенные системы и зависимости. Вводится концепция унифицированной модели связей (ULM) для оценки риска на основе смежности, наследования и доверия.

Критическая уязвимость в AWS CodeBuild, обнаруженная Wiz, позволяла захватить репозитории AWS на GitHub, что грозило глобальным сбоем. Исследователи отмечают, что ошибка в фильтрах веб-перехватчиков не уникальна для AWS.

Анализ эскалации угроз в экосистеме npm: от простого тайпосквоттинга к целенаправленным атакам на учётные данные сопровождающих и среды CI/CD. Руководители безопасности должны пересмотреть защиту цепочек поставок, поскольку вредоносное ПО теперь доставляется через доверенные каналы.