Konflux CI CVE-2026-116964はHigh―リポジトリ入力からCI内でコード実行

Red Hatは2026年10月30日付で、Konflux CIのコード注入問題CVE-2026-116964を公表しました。CVEレコードの公開は31日です。評価はImportant、CVSS v3.1は8.4でHigh。影響版として0.2.2と0.2.3-rc.0が列挙されています。

攻撃には、対象リポジトリへの書き込み権限が必要です。環境変数を出力するスクリプトへシェルコマンドを混入させると、マニフェスト同期処理が検証していない出力を動的に評価し、CI/CD環境でコードが実行されるおそれがあります。インターネットから誰でも無条件に実行できる脆弱性ではありません。

影響はビルド処理だけにとどまらず、ワークフローが参照できる認証トークンやデプロイ用資格情報にも及びます。本番へのアクセス範囲は、そのパイプラインに与えた権限によって変わります。リポジトリの変更権限と、本番用の秘密情報を利用する権限を分けて確認する必要があります。

11月1日に確認したCNAレコードには修正版が明記されていません。更新先を推測せず、Red Hatの続報を確認してください。当面の運用上の対策として、該当スクリプトの変更をレビュー対象にし、信頼できない変更を秘密情報付きのジョブで実行しない構成を検討してください。