chore(sbom): Trivy 0.74.0 só no reusable-sbom — complemento do #84, que já pinou os outros 4 [INFRA-69046] #85

Merged

tarcisio merged 1 commit from chore/INFRA-69046-trivy-0740 into develop

2026-10-09 17:13:51 -03:00

tmf-ia commented

2026-10-09 17:02:35 -03:00

Owner

O que

INFRA-69046. Os reusables trocam a tmf-ci-trivy 0.68.2 pela 0.74.0. A 0.68.2 está na faixa do incidente de supply chain do Trivy (GHSA-69fq-xp46-6x23 / CVE-2026-33634); a frota não foi exposta. A 0.74.0 foi verificada por sigstore e publicada como imutável 0.74.0-db20261009-e231b48.

Arquivos alterados:

ci-base.yml, ci.yml, reusable-image-cve-os.yml e reusable-trivy-scan.yml: passam a pinar a imutável tmf-ci-trivy:0.74.0-db20261009-e231b48;
reusable-sbom.yml:
- TRIVY_VERSION 0.74.0;
- camada do binário sha256:4c984bdd5302…, lida do manifest amd64 da imutável e com o digest conferido;
- sha256 do binário d89bcc6510a2…, o mesmo do pacote generic TMF/trivy-cli 0.74.0 verificado por sigstore.

O build-ci-images.yml e o ci-images/ do ci-shared ficam como estão: a remoção deles é a INFRA-68880.

Prova

pytest tests no container tmf-ci-python:3.12: 925 passed, 12 skipped.
Camada e binário: baixei o blob do registry, conferi o sha256 da camada contra o digest e o do binário extraído contra o valor pinado.
Controle de achados: a 0.74.0 deu os mesmos achados da 0.68.2 em 7 alvos, medido na INFRA-67847.

O que o merge em develop dispara

Nada é publicado. Os produtos passam a usar a 0.74.0 no próximo release do ci-shared para main.

🤖 Generated with Claude Code

https://claude.ai/code/session_014axu8pSLigGKWaQj1sASKC

## O que INFRA-69046. Os reusables trocam a tmf-ci-trivy **0.68.2** pela **0.74.0**. A 0.68.2 está na faixa do incidente de supply chain do Trivy (GHSA-69fq-xp46-6x23 / CVE-2026-33634); a frota não foi exposta. A 0.74.0 foi verificada por sigstore e publicada como imutável `0.74.0-db20261009-e231b48`. Arquivos alterados: - `ci-base.yml`, `ci.yml`, `reusable-image-cve-os.yml` e `reusable-trivy-scan.yml`: passam a pinar a imutável `tmf-ci-trivy:0.74.0-db20261009-e231b48`; - `reusable-sbom.yml`: - `TRIVY_VERSION` 0.74.0; - camada do binário `sha256:4c984bdd5302…`, lida do manifest amd64 da imutável e com o digest conferido; - sha256 do binário `d89bcc6510a2…`, o mesmo do pacote generic `TMF/trivy-cli` 0.74.0 verificado por sigstore. O `build-ci-images.yml` e o `ci-images/` do ci-shared ficam como estão: a remoção deles é a INFRA-68880. ## Prova - `pytest tests` no container `tmf-ci-python:3.12`: 925 passed, 12 skipped. - Camada e binário: baixei o blob do registry, conferi o sha256 da camada contra o digest e o do binário extraído contra o valor pinado. - Controle de achados: a 0.74.0 deu os mesmos achados da 0.68.2 em 7 alvos, medido na INFRA-67847. ## O que o merge em develop dispara Nada é publicado. Os produtos passam a usar a 0.74.0 no próximo release do ci-shared para main. 🤖 Generated with [Claude Code](https://claude.com/claude-code) https://claude.ai/code/session_014axu8pSLigGKWaQj1sASKC

tmf-ia added 1 commit

2026-10-09 17:02:35 -03:00

chore(ci): Trivy 0.74.0 (imutável db20261009-e231b48) nos reusables e no SBOM [INFRA-69046]

PR checks (ci-shared) / testes (pull_request) Successful in 4m20s

Details

aa6f0fe053

Sai a 0.68.2 da faixa do incidente de supply chain (GHSA-69fq-xp46-6x23). ci-base, ci,
reusable-image-cve-os e reusable-trivy-scan pinam tmf-ci-trivy:0.74.0-db20261009-e231b48;
o reusable-sbom troca a camada do binário (sha256:4c984bdd…, digest conferido no registry) e o
sha256 do binário (d89bcc65…, o mesmo verificado por sigstore no pacote generic TMF/trivy-cli).

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_014axu8pSLigGKWaQj1sASKC

tmf-ia requested review from tarcisio

2026-10-09 17:02:36 -03:00

tmf-ia changed title from ~~chore(ci): Trivy 0.74.0 nos reusables e no SBOM [INFRA-69046]~~ to chore(sbom): Trivy 0.74.0 só no reusable-sbom — complemento do #84, que já pinou os outros 4 [INFRA-69046]

2026-10-09 17:04:40 -03:00