Konflux-ci: Remote Code Execution über eval() in Manifest-Skripten
Zusammenfassung
Konflux (konflux-ci), eine Open-Source-CI/CD-Plattform für Kubernetes, enthält eine Schwachstelle in den Skripten zum Exportieren von Umgebungsvariablen und zur Synchronisation von Manifesten. Ein Angreifer mit Schreibzugriff auf das Repository, zum Beispiel über eine böswillige Änderung, die nach einer minimalen Prüfung genehmigt wird, kann Shell-Befehle einschleusen, die im CI/CD-Workflow ausgewertet und ausgeführt werden. Bei erfolgreicher Ausnutzung können Pipeline-Token, Deployment-Zugangsdaten und der Zugriff auf Produktivsysteme offengelegt werden. Organisationen, die Konflux nicht einsetzen, sind nicht betroffen.
Betroffen
- konflux-ci 0.2.2
- konflux-ci 0.2.3-rc.0
Unbekannt, ob 0.2.3 final oder spätere Versionen betroffen sind.
Behoben in
Unbekannt. In den geprüften Quellen ist keine korrigierte Version veröffentlicht.
Umgehung
- Die einzige bestehende Massnahme ist die Prüfung von Pull- und Merge-Requests durch Benutzer.
- Red Hat gibt an, dass darüber hinaus keine Massnahme verfügbar ist, die ihre Kriterien erfüllt.
Ausnutzung
- Kein öffentlicher Exploit gemeldet (VulDB).
- Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.
- Nicht in der CISA-KEV-Liste aufgeführt.
- EPSS: 0.34 %.
Unsere Empfehlung
- Prüfen Sie, ob Konflux (konflux-ci) eingesetzt wird und welche Version läuft.
- Falls Version 0.2.2 oder 0.2.3-rc.0 verwendet wird, planen Sie ein Upgrade, sobald eine korrigierte Version verfügbar ist.
- Beschränken Sie den Schreibzugriff auf Repositories auf das Minimum und verlangen Sie eine strenge Prüfung von Änderungen an den Skripten zur Manifest-Synchronisation und zum Exportieren von Umgebungsvariablen.
- Überprüfen Sie CI-Secrets und Token auf Exposition und rotieren Sie diese bei Bedarf.
- Überwachen Sie Änderungen an Pipelines auf unerwartete Modifikationen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Red Hat CVE record CVE-2026-116964 access.redhat.com
- Red Hat Bugzilla 2564209 bugzilla.redhat.com
- VulDB CVE-2026-116964 vuldb.com
- VulDB vulnerability 429543 vuldb.com
- OSV CVE-2026-116964 (Vulners) vulners.com
- Strix CVE-2026-116964 www.strix.ai
- Konflux-ci GitHub repository github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:45.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.