Trivy v0.70.0, выпущенный 17 апреля 2026 года, сосредоточен на повышении производительности, усилении отчетности по безопасности и улучшении точности сканирования. Это минорное обновление от Aqua Security критически важно для QA-инженеров, использующих Trivy в своих рабочих процессах DevSecOps.

Key Changes

Производительность: Заметная оптимизация улучшает обход каталогов для плагинов, заменяя filepath.Walk на filepath.WalkDir. Это изменение может привести к ускорению времени сканирования, особенно в средах с глубокими структурами каталогов или многочисленными плагинами.

Безопасность и Отчетность: Обновление вводит поддержку оценок уязвимостей CVSS v4 в отчетах CycloneDX, предоставляя более актуальный и подробный контекст безопасности. Генерация SBOM улучшена, включая сохранение Red Hat BuildInfo при отсутствии информации о слоях и добавление NOASSERTION для полей лицензий в пакетах SPDX, не являющихся библиотеками. Отчеты SARIF теперь также корректно устанавливают URI ROOTPATH при сканировании репозиториев Git, обеспечивая точные ссылки.

Точность и Стабильность Сканирования: Несколько исправлений улучшают способность Trivy сканировать конкретные типы проектов:

  • Python: Устранены проблемы с несколькими спецификаторами версий в requirements.txt и разрешены ошибки разыменования нулевого указателя с необязательными группами Poetry без зависимостей, что делает анализ проектов Python более надежным.
  • Обнаружение Уязвимостей: Улучшено обнаружение полей уязвимостей в детекторах Azure и Mariner.
  • Общее: Проверяются расширения файлов шаблонов, предотвращая потенциальные ошибки конфигурации.

Влияние на QA-команды

QA-команды получат выгоду от более быстрых сканирований безопасности, что приведет к ускорению циклов обратной связи в CI/CD-пайплайнах. Улучшенная точность в SBOM и анализе зависимостей Python означает более надежное обнаружение уязвимостей и меньшее количество ложных срабатываний. Включение оценок CVSS v4 предлагает более точное понимание рисков безопасности, помогая в их приоритизации и отчетности.

Официальный источник: Подробные примечания к выпуску можно найти в Trivy v0.70.0 GitHub Release.