Konflux CI: Unverschlüsselte Speicherung von GitHub-Tokens in CI/CD-Skripten
Zusammenfassung
Konflux-CI-Automatisierungsskripte speichern GitHub-Zugriffstoken im Klartext auf dem CI-Runner und entfernen sie nach der Ausführung nicht. Ein lokaler Angreifer mit Codeausführung oder Zugriff auf die CI-Umgebung kann diese Token auslesen und sich unautorisierten Repository-Zugriff verschaffen, wodurch Quellcode oder Release-Artefakte manipuliert werden könnten. Red Hat stuft die Lücke als Important ein (CVSS 3.1: 8.6), VulDB nennt einen tieferen Wert; für die Ausnutzung ist vorgängiger Zugriff auf die Pipeline-Runner nötig.
Betroffen
- konflux-ci 0.2.2 (bis und mit 0.2.2)
- konflux-ci 0.2.3-rc.0 (bis und mit 0.2.3-rc.0)
- konflux-ci Branch main (bis und mit main)
- Andere Versionen: gemäss Standardstatus von Red Hat nicht betroffen.
Behoben in
Unbekannt.
- In den Quellen wird kein korrigierter Release genannt.
- Ein wahrscheinlicher Upstream-Fix (GitHub PR #9508) ist nicht bestätigt; prüfen, ob er zusammengeführt wurde und in welchem Release er enthalten ist.
Umgehung
- Kein offizieller Workaround des Herstellers verfügbar (gemäss Red Hat).
- Allgemeine Massnahmen: Zugriff auf CI-Runner einschränken (strikte RBAC), Runner und Arbeitsbereiche auf verbliebene Credential-Dateien prüfen und diese löschen.
Ausnutzung
- Keine bekannte Ausnutzung; nicht im CISA-KEV-Katalog.
- Kein öffentlicher Exploit-Code oder nuclei-Template bekannt.
- EPSS: 0.09 %.
Unsere Empfehlung
- Prüfen, ob Konflux CI oder kopierte Versionen der Skripte verwendet werden.
- Falls betroffen: Runner und Arbeitsbereiche auf verbliebene Credential-Dateien prüfen und diese löschen.
- Möglicherweise offengelegte GitHub-Token rotieren; feingranulare, kurzlebige Token mit minimalem Umfang verwenden.
- Ephemere Runner bevorzugen und Repository-Aktivitäten auf unerwartete Änderungen überwachen.
- Priorität: gering, falls Konflux nicht genutzt wird; hoch, falls doch, wegen des Risikos durch den Token-Umfang.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Red Hat CVE record CVE-2026-114217 access.redhat.com
- Red Hat Bugzilla 2564218 bugzilla.redhat.com
- GitHub PR konflux-ci #9508 github.com
- konflux-ci repository github.com
- VulDB CVE-2026-114217 vuldb.com
- VulDB entry 429541 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:41.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.