[{"data":1,"prerenderedAt":321},["ShallowReactive",2],{"news-trivy-litellm-angriff-ci-cd-pipeline":3},{"id":4,"title":5,"author":6,"body":7,"cover":310,"date":311,"description":312,"extension":313,"hero":314,"meta":315,"navigation":190,"path":316,"seo":317,"showContactForm":318,"showTechNav":318,"stem":319,"__hash__":320},"content\u002Fnews\u002Ftrivy-litellm-angriff-ci-cd-pipeline.md","Angriff über den Sicherheitsscanner: Trivy, Checkmarx und LiteLLM kompromittiert","Thomas K.",{"type":8,"value":9,"toc":303},"minimark",[10,14,19,27,42,45,51,98,102,105,109,157,230,258,262,271,275,299],[11,12,13],"p",{},"Angreifer haben den verbreiteten Sicherheitsscanner Trivy manipuliert und über gestohlene CI-Secrets anschließend auch GitHub Actions von Checkmarx sowie die Python-Bibliothek LiteLLM infiziert. Der Fall zeigt, dass die eigene Build-Pipeline selbst zur Angriffsfläche geworden ist.",[15,16,18],"h2",{"id":17},"was-ist-passiert","Was ist passiert?",[11,20,21,22,26],{},"Hinter der Angriffskette steht nach Angaben mehrerer Sicherheitsforscher die Gruppe TeamPCP. Bereits Ende Februar nutzten die Angreifer eine Fehlkonfiguration in der GitHub-Actions-Umgebung von Trivy, um ein privilegiertes Zugriffstoken zu erbeuten. Laut JFrog spielte dabei ein Workflow mit dem Trigger ",[23,24,25],"code",{},"pull_request_target"," eine Rolle. Weil die Zugangsdaten offenbar nicht vollständig widerrufen wurden, konnten die Angreifer später erneut zuschlagen.",[11,28,29,30,33,34,37,38,41],{},"Am 19. März veröffentlichten sie eine verseuchte Trivy-Version 0.69.4. Zusätzlich wurden laut Kaspersky 76 von 77 Versions-Tags der GitHub Action ",[23,31,32],{},"aquasecurity\u002Ftrivy-action"," sowie alle Tags von ",[23,35,36],{},"setup-trivy"," auf schädliche Commits umgebogen. Wer die Action über einen Versions-Tag einband, führte also ohne sichtbare Änderung fremden Code aus. Der Schadcode sammelte unter anderem Cloud-Zugangsdaten, Kubernetes-Tokens, SSH-Schlüssel und ",[23,39,40],{},".env","-Dateien.",[11,43,44],{},"Mit erbeuteten Secrets folgten am 23. März manipulierte GitHub Actions von Checkmarx (KICS und AST). Am 24. März erschienen auf PyPI die LiteLLM-Versionen 1.82.7 und 1.82.8 mit Schadcode. Die Pipeline von LiteLLM hatte Trivy ohne feste Versionsbindung installiert – so gelangte das PyPI-Publishing-Token in die Hände der Angreifer. Die schädlichen Pakete waren laut Kaspersky rund fünf Stunden verfügbar. Der Vorfall wird als CVE-2026-33634 geführt.",[11,46,47],{},[48,49,50],"strong",{},"So verlief die Angriffskette:",[52,53,58],"pre",{"className":54,"code":55,"language":56,"meta":57,"style":57},"language-mermaid shiki shiki-themes material-theme-lighter material-theme material-theme-palenight","flowchart TD\n  A[\"Ende Februar: Token über Fehlkonfiguration in Trivys GitHub Actions erbeutet\"] --> B[\"19. März: verseuchtes Trivy 0.69.4, 76 von 77 trivy-action-Tags umgebogen\"]\n  B --> C[\"Pipelines mit Trivy über Versions-Tag führen Schadcode aus\"]\n  C --> D[\"Abfluss von CI-Secrets: Cloud-Zugänge, Tokens, SSH-Schlüssel\"]\n  D --> E[\"23. März: manipulierte Checkmarx-Actions (KICS, AST)\"]\n  D --> F[\"24. März: LiteLLM 1.82.7 und 1.82.8 mit Schadcode auf PyPI\"]\n","mermaid","",[23,59,60,68,74,80,86,92],{"__ignoreMap":57},[61,62,65],"span",{"class":63,"line":64},"line",1,[61,66,67],{},"flowchart TD\n",[61,69,71],{"class":63,"line":70},2,[61,72,73],{},"  A[\"Ende Februar: Token über Fehlkonfiguration in Trivys GitHub Actions erbeutet\"] --> B[\"19. März: verseuchtes Trivy 0.69.4, 76 von 77 trivy-action-Tags umgebogen\"]\n",[61,75,77],{"class":63,"line":76},3,[61,78,79],{},"  B --> C[\"Pipelines mit Trivy über Versions-Tag führen Schadcode aus\"]\n",[61,81,83],{"class":63,"line":82},4,[61,84,85],{},"  C --> D[\"Abfluss von CI-Secrets: Cloud-Zugänge, Tokens, SSH-Schlüssel\"]\n",[61,87,89],{"class":63,"line":88},5,[61,90,91],{},"  D --> E[\"23. März: manipulierte Checkmarx-Actions (KICS, AST)\"]\n",[61,93,95],{"class":63,"line":94},6,[61,96,97],{},"  D --> F[\"24. März: LiteLLM 1.82.7 und 1.82.8 mit Schadcode auf PyPI\"]\n",[15,99,101],{"id":100},"warum-betrifft-sie-das","Warum betrifft Sie das?",[11,103,104],{},"Sicherheitsscanner laufen in CI\u002FCD-Pipelines typischerweise mit weitreichenden Rechten und haben Zugriff auf Secrets für Registries, Cloud-Konten und Paketquellen. Genau das macht sie für Angreifer attraktiv. Viele Teams binden GitHub Actions über veränderliche Tags ein und installieren Werkzeuge „in der neuesten Version\". Wird ein solches Werkzeug kompromittiert, wird jede Pipeline, die es nutzt, zum Einfallstor – und gestohlene Secrets ermöglichen den nächsten Angriff, wie die Kette von Trivy über Checkmarx zu LiteLLM zeigt.",[15,106,108],{"id":107},"was-sie-jetzt-tun-sollten","Was Sie jetzt tun sollten",[110,111,112,133,145,151],"ul",{},[113,114,115,118,119,122,123,122,125,128,129,132],"li",{},[48,116,117],{},"Betroffenheit prüfen:"," Durchsuchen Sie Workflows nach ",[23,120,121],{},"trivy-action",", ",[23,124,36],{},[23,126,127],{},"kics-github-action"," und ",[23,130,131],{},"ast-github-action"," sowie Python-Umgebungen nach LiteLLM 1.82.7 oder 1.82.8.",[113,134,135,138,139,141,142,144],{},[48,136,137],{},"Sichere Versionen nutzen:"," Laut Kaspersky gelten Trivy 0.69.3, ",[23,140,121],{}," 0.35.0 und ",[23,143,36],{}," 0.2.6 als sauber.",[113,146,147,150],{},[48,148,149],{},"Secrets rotieren:"," Wenn eine betroffene Version in Ihrer Pipeline lief, sollten Sie alle dort verfügbaren Zugangsdaten als kompromittiert betrachten und erneuern.",[113,152,153,156],{},[48,154,155],{},"Actions per Commit-SHA pinnen:"," Tags lassen sich überschreiben, ein vollständiger Commit-Hash nicht. Den Hash entnehmen Sie dem geprüften Release:",[52,158,162],{"className":159,"code":160,"language":161,"meta":57,"style":57},"language-yaml shiki shiki-themes material-theme-lighter material-theme material-theme-palenight","permissions:\n  contents: read\n\nsteps:\n  - uses: actions\u002Fcheckout@\u003Cvollständiger-40-stelliger-commit-sha> # v4\n  - uses: aquasecurity\u002Ftrivy-action@\u003Cvollständiger-40-stelliger-commit-sha> # 0.35.0\n","yaml",[23,163,164,174,186,192,199,216],{"__ignoreMap":57},[61,165,166,170],{"class":63,"line":64},[61,167,169],{"class":168},"swJcz","permissions",[61,171,173],{"class":172},"sMK4o",":\n",[61,175,176,179,182],{"class":63,"line":70},[61,177,178],{"class":168},"  contents",[61,180,181],{"class":172},":",[61,183,185],{"class":184},"sfazB"," read\n",[61,187,188],{"class":63,"line":76},[61,189,191],{"emptyLinePlaceholder":190},true,"\n",[61,193,194,197],{"class":63,"line":82},[61,195,196],{"class":168},"steps",[61,198,173],{"class":172},[61,200,201,204,207,209,212],{"class":63,"line":88},[61,202,203],{"class":172},"  -",[61,205,206],{"class":168}," uses",[61,208,181],{"class":172},[61,210,211],{"class":184}," actions\u002Fcheckout@\u003Cvollständiger-40-stelliger-commit-sha>",[61,213,215],{"class":214},"sHwdD"," # v4\n",[61,217,218,220,222,224,227],{"class":63,"line":94},[61,219,203],{"class":172},[61,221,206],{"class":168},[61,223,181],{"class":172},[61,225,226],{"class":184}," aquasecurity\u002Ftrivy-action@\u003Cvollständiger-40-stelliger-commit-sha>",[61,228,229],{"class":214}," # 0.35.0\n",[110,231,232,242,252],{},[113,233,234,237,238,241],{},[48,235,236],{},"Werkzeuge fest versionieren:"," Installieren Sie CLI-Tools in Pipelines mit fester Version und Prüfsumme statt per ",[23,239,240],{},"apt-get install"," ohne Versionsangabe.",[113,243,244,247,248,251],{},[48,245,246],{},"Secrets minimieren:"," Geben Sie Jobs nur die Rechte, die sie brauchen, beschränken Sie ",[23,249,250],{},"GITHUB_TOKEN"," und setzen Sie wo möglich auf kurzlebige Zugangsdaten per OIDC, etwa für PyPI Trusted Publishing oder Cloud-Logins.",[113,253,254,257],{},[48,255,256],{},"Actions erlauben, nicht nur nutzen:"," Legen Sie auf Organisationsebene fest, welche Actions verwendet werden dürfen. Werkzeuge wie zizmor helfen beim Auffinden riskanter Workflow-Konfigurationen.",[15,259,261],{"id":260},"fazit","Fazit",[11,263,264,265,270],{},"Der Angriff zeigt, wie eng Software-Lieferketten verflochten sind: Ein kompromittierter Scanner genügte, um weitere Projekte zu infizieren. Behandeln Sie Ihre CI\u002FCD-Pipeline deshalb wie Produktivinfrastruktur – mit festen Versionen, minimalen Rechten und regelmäßig rotierten Secrets. Wenn Sie Ihre Pipelines auf solche Schwachstellen prüfen lassen möchten, ",[266,267,269],"a",{"href":268},"\u002Fkontakt","sprechen Sie uns an",".",[15,272,274],{"id":273},"quellen","Quellen",[110,276,277,285,292],{},[113,278,279],{},[266,280,284],{"href":281,"rel":282},"https:\u002F\u002Fwww.theregister.com\u002F2026\u002F03\u002F24\u002Ftrivy_compromise_litellm\u002F",[283],"nofollow","Trivy compromise spreads to LiteLLM – The Register",[113,286,287],{},[266,288,291],{"href":289,"rel":290},"https:\u002F\u002Fwww.kaspersky.com\u002Fblog\u002Fcritical-supply-chain-attack-trivy-litellm-checkmarx\u002F55510\u002F",[283],"Critical supply chain attack: Trivy, LiteLLM, Checkmarx – Kaspersky",[113,293,294],{},[266,295,298],{"href":296,"rel":297},"https:\u002F\u002Fresearch.jfrog.com\u002Fpost\u002Flitellm-compromised-teampcp\u002F",[283],"LiteLLM compromised by TeamPCP – JFrog Security Research",[300,301,302],"style",{},"html .light .shiki span {color: var(--shiki-light);background: var(--shiki-light-bg);font-style: var(--shiki-light-font-style);font-weight: var(--shiki-light-font-weight);text-decoration: var(--shiki-light-text-decoration);}html.light .shiki span {color: var(--shiki-light);background: var(--shiki-light-bg);font-style: var(--shiki-light-font-style);font-weight: var(--shiki-light-font-weight);text-decoration: var(--shiki-light-text-decoration);}html .default .shiki span {color: var(--shiki-default);background: var(--shiki-default-bg);font-style: var(--shiki-default-font-style);font-weight: var(--shiki-default-font-weight);text-decoration: var(--shiki-default-text-decoration);}html .shiki span {color: var(--shiki-default);background: var(--shiki-default-bg);font-style: var(--shiki-default-font-style);font-weight: var(--shiki-default-font-weight);text-decoration: var(--shiki-default-text-decoration);}html .dark .shiki span {color: var(--shiki-dark);background: var(--shiki-dark-bg);font-style: var(--shiki-dark-font-style);font-weight: var(--shiki-dark-font-weight);text-decoration: var(--shiki-dark-text-decoration);}html.dark .shiki span {color: var(--shiki-dark);background: var(--shiki-dark-bg);font-style: var(--shiki-dark-font-style);font-weight: var(--shiki-dark-font-weight);text-decoration: var(--shiki-dark-text-decoration);}html pre.shiki code .swJcz, html code.shiki .swJcz{--shiki-light:#E53935;--shiki-default:#F07178;--shiki-dark:#F07178}html pre.shiki code .sMK4o, html code.shiki .sMK4o{--shiki-light:#39ADB5;--shiki-default:#89DDFF;--shiki-dark:#89DDFF}html pre.shiki code .sfazB, html code.shiki .sfazB{--shiki-light:#91B859;--shiki-default:#C3E88D;--shiki-dark:#C3E88D}html pre.shiki code .sHwdD, html code.shiki .sHwdD{--shiki-light:#90A4AE;--shiki-light-font-style:italic;--shiki-default:#546E7A;--shiki-default-font-style:italic;--shiki-dark:#676E95;--shiki-dark-font-style:italic}",{"title":57,"searchDepth":70,"depth":70,"links":304},[305,306,307,308,309],{"id":17,"depth":70,"text":18},{"id":100,"depth":70,"text":101},{"id":107,"depth":70,"text":108},{"id":260,"depth":70,"text":261},{"id":273,"depth":70,"text":274},"\u002Fimages\u002Fnews\u002Ftrivy-litellm-angriff-ci-cd-pipeline.webp","2026-03-25","Angreifer haben den Scanner Trivy manipuliert und über gestohlene CI-Secrets auch Checkmarx-Actions und LiteLLM infiziert. So sichern Sie Ihre Pipelines ab.","md",null,{},"\u002Fnews\u002Ftrivy-litellm-angriff-ci-cd-pipeline",{"title":5,"description":312},false,"news\u002Ftrivy-litellm-angriff-ci-cd-pipeline","OhxjhmkbtTA1Yv9qPCwnbhdUlmRufj_XddXsiPGDMqk",1793714089385]