Konflux UI proxy: Unzureichende TLS-Zertifikatsprüfung ermöglicht Rechteausweitung

Zusammenfassung

Der User-Interface-Proxy von Konflux, einer Kubernetes-native Plattform für Build- und Supply-Chain-Prozesse, deaktiviert die TLS-Zertifikatsprüfung für Verbindungen zu internen Backend-Diensten, wenn keine standardmässige Service-CA vorhanden ist. Der Proxy hängt an diese Anfragen ein clusterweites Token mit Benutzer-Impersonation-Rechten an. Ein benachbarter Netzwerkangreifer, der diesen Datenverkehr abfangen kann, kann das Token erbeuten und vollständige Administrationsrechte im Cluster erlangen, wobei die Angriffskomplexität hoch ist und nur niedrige Rechte benötigt werden.

Betroffen

• konflux-ci ab 0.2.2-rc.2 (gemäss Aggregatordaten, nicht vom Hersteller bestätigt)
• Standardkonfiguration: nicht betroffen
• Umgebungen ohne standardmässige Service-CA, typischerweise Kubernetes-Cluster ausserhalb von OpenShift (Red Hat gibt an, dass die Service-CA von OpenShift das Problem verhindert)

Behoben in

Unbekannt. Vom Hersteller wurde noch keine korrigierte Version bestätigt.

Umgehung

• Red Hat: Es ist keine Massnahme verfügbar, die deren Kriterien erfüllt.
• Nicht verifizierte Optionen: CA-Bundle für die Backend-Dienste bereitstellen, damit die TLS-Zertifikatsprüfung aktiviert werden kann; den Netzwerkzugriff auf den Datenverkehr zwischen Proxy und Backend einschränken; Impersonation-Rechte des Proxy-Dienstkontos auf das Nötige beschränken und dessen Token erneuern, falls ein Abfangen vermutet wird.

Ausnutzung

• Kein öffentlicher Exploit bekannt.
• Eine Ausnutzung ist nicht bekannt.
• VulDB stuft die Ausnutzung als schwierig ein.

Unsere Empfehlung

• Prüfen Sie, ob Konflux oder eine selbst betriebene Software-Factory im Einsatz ist. Falls nicht, ist keine Massnahme nötig.
• Falls im Einsatz, stellen Sie ein CA-Bundle für die Backend-Dienste bereit und prüfen Sie die TLS-Einstellungen des UI-Proxys.
• Beschränken Sie den Zugriff auf das Cluster-Netzwerksegment, das den Proxy-Datenverkehr führt.
• Beschränken Sie die Impersonation-Rechte des Proxy-Dienstkontos und erneuern Sie dessen Token, falls ein Abfangen vermutet wird.
• Beobachten Sie das Red-Hat-Advisory auf eine korrigierte Version.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Red Hat CVE page access.redhat.com
• Red Hat Bugzilla 2563233 bugzilla.redhat.com
• VulDB CVE entry vuldb.com
• Konflux reverse-proxy project github.com
• OffSeq threat radar entry radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:08.