Trivy v0.70.0, lanzado el 17 de abril de 2026, se centra en refinar el rendimiento, reforzar los reportes de seguridad y mejorar la precisión del escaneo. Esta actualización menor de Aqua Security es crucial para los ingenieros de QA que utilizan Trivy en sus flujos de trabajo de DevSecOps.

Key Changes

Rendimiento: Una optimización notable mejora la exploración de directorios para plugins, reemplazando filepath.Walk con filepath.WalkDir. Este cambio puede resultar en tiempos de escaneo más rápidos, especialmente en entornos con estructuras de directorios profundas o numerosos plugins.

Seguridad y Reportes: La actualización introduce soporte para las calificaciones de vulnerabilidad CVSS v4 dentro de los reportes CycloneDX, proporcionando un contexto de seguridad más actual y detallado. La generación de SBOM mejora, incluyendo la preservación de Red Hat BuildInfo cuando la información de capa está ausente y la adición de NOASSERTION para campos de licencia en paquetes SPDX que no son de librería. Los reportes SARIF también configuran correctamente el URI ROOTPATH al escanear repositorios Git, asegurando enlaces precisos.

Precisión y Estabilidad del Escaneo: Varias correcciones mejoran la capacidad de Trivy para escanear tipos de proyectos específicos:

  • Python: Aborda problemas con múltiples especificadores de versión en requirements.txt y resuelve desreferencias de puntero nulo con grupos opcionales de Poetry sin dependencias, haciendo que el análisis de proyectos Python sea más robusto.
  • Detección de Vulnerabilidades: Mejora la detección de campos de vulnerabilidad en los detectores de Azure y Mariner.
  • General: Valida las extensiones de archivos de plantilla, previniendo posibles configuraciones erróneas.

Impacto para Equipos de QA

Los equipos de QA se beneficiarán de escaneos de seguridad más rápidos, lo que lleva a ciclos de retroalimentación más ágiles en los pipelines de CI/CD. La precisión mejorada en los SBOM y el análisis de dependencias de Python significa una detección de vulnerabilidades más confiable y menos falsos positivos. La inclusión de calificaciones CVSS v4 ofrece una comprensión más precisa de los riesgos de seguridad, ayudando en la priorización y los reportes.

Fuente Oficial: Para notas de lanzamiento detalladas, consulte el Trivy v0.70.0 GitHub Release.