Совсем недавно зарелизилась новая версия trivy – v0.41.0. Новвоведений не так много, но всё-таки они есть:

1) Добавили поддержку VEX – можно фильтровать найденные уязвимости в форматах CycloneDX и OpenVEX
2) Теперь trivy умеет генерировать SBOM для образов виртуальных машин в форматах CycloneDX и SPDX
3) Вложенные пути в JAR-файлах стали отображаться корректно
4) Trivy может обнаруживать лицензии у файлов с кастомным уровнем доверия
5) Добавили поддержку SPDX 2.3
6) Теперь можно генерировать custom compliance reports

Не стоит забывать, что сканеры уязвимостей не являются silver bullet – об этом мы не раз упоминали в своих постах [1,2]. Ну и сам trivy не является идеальным инструментом для работы с уязвимостями – если вы захотите скормить ему SBOM от других тулзов, скорее всего он ничего не найдет.