Konflux: Informationspreisgabe durch jq-Filterinjektion in Issue-Workflows

Zusammenfassung

Konflux, die CI/CD-Plattform des konflux-ci-Projekts, enthält einen Fehler in einem Workflow-Skript, das Datenabfragen aus vom Benutzer gelieferten Issue-Titeln ohne ausreichende Bereinigung erstellt. Ein Angreifer mit der Berechtigung, automatisierte Workflow-Läufe auszulösen, kann Filtersyntax einschleusen, sodass Ergebnisse von Repository-Abfragen wie API-Zugangsdaten, Deployment-Schlüssel und interne Notizen in den Workflow-Logs erscheinen. Der Angriff setzt ein Konto mit Workflow-Auslöseberechtigung voraus; die Exponierung hängt davon ab, ob externe Benutzer Issues eröffnen können, die solche Workflows starten. Red Hat stuft das Problem als wichtig ein und meldet weder eine Codeausführung noch eine Kompromittierung des Clusters.

Betroffen

• konflux-ci 0.2.2 (<= 0.2.2)
• konflux-ci 0.2.3-rc.0 (<= 0.2.3-rc.0)
• Standardkonfiguration: nicht betroffen (laut Red Hat)

Behoben in

Unbekannt. In den geprüften Quellen wurde keine bestätigte korrigierte Version gefunden. Die offizielle korrigierte Version sollte dem Red-Hat-CVE-Eintrag entnommen werden.

Umgehung

• Laut Red Hat ist keine Herstellermassnahme verfügbar.
• Issue-Titel oder andere Benutzereingaben nicht direkt in Skripte oder Abfragezeichenketten einfügen.
• Solche Werte als Argumente oder Umgebungsvariablen übergeben, zum Beispiel mit jq --arg.
• Berechtigungen von GITHUB_TOKEN einschränken und die Secrets begrenzen, die issue-ausgelösten Workflows zur Verfügung stehen.

Ausnutzung

• OffSeq führt die Schwachstelle als nicht bekanntermassen ausgenutzt.
• Zum Zeitpunkt der Recherche wurden kein öffentlicher Proof of Concept und kein Eintrag im CISA-KEV-Katalog gefunden.

Unsere Empfehlung

• Prüfen, ob verwaltete Repositories Issue-ausgelöste Workflows betreiben, die Abfragen aus Issue-Titeln erstellen.
• Den Herstellerfix einspielen, sobald er bestätigt ist; bis dahin die oben genannten Workaround-Massnahmen umsetzen.
• Workflow-Logs auf offengelegte Zugangsdaten prüfen und mögliche Schlüssel rotieren.
• In öffentlichen Repositories einschränken, wer Issues eröffnen oder Workflows auslösen kann.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Red Hat CVE record CVE-2026-116086 access.redhat.com
• Red Hat Bugzilla 2564224 bugzilla.redhat.com
• OffSeq threat radar CVE-2026-116086 radar.offseq.com
• konflux-ci pull request 9367 (upstream change, fix not confirmed) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:21.