Konflux CI に 4 件の High 勧告（CVE-2026-116964 ほか）: CI スクリプトの eval・トークン平文・jq 注入、UI プロキシの TLS 検証省略

Red Hat が管理するオープンソースの CI/CD 基盤 Konflux CI（konflux-ci）について、2026 年 10 月 28〜31 日に 4 件の CVE が公開されました。GitHub Advisory の深刻度はいずれも High で、CVSS v3.1 は 8.0〜8.8 です。4 件とも GitHub の勧告には対象版・修正版の記載がなく、修正の有無は現時点で確認できていません。CISA の KEV には載っておらず、EPSS は公開直後のため未算出です。

4 件の概要

CVE	内容	CWE	CVSS v3.1
CVE-2026-116964	環境変数を書き出すスクリプトにシェルコマンドを埋め込むと、マニフェスト同期スクリプトが出力を eval で評価し、CI/CD の実行環境で任意のコードが動く	CWE-94	8.4
CVE-2026-114217	CI の自動化スクリプトが GitHub のアクセストークンを平文でランナー上に残し、実行後も消さない	CWE-312	8.6
CVE-2026-116086	ワークフローの実行を起動できる者が、細工した Issue タイトルで jq のフィルターを注入し、API 資格情報などをワークフローのログに出させる	CWE-94	8.8
CVE-2026-117681	非 OpenShift の Kubernetes で、UI プロキシが内部バックエンドへの TLS 証明書検証を自動的に無効にし、ユーザーなりすまし権限を持つトークンが傍受され得る	CWE-295	8.0

何が起きるか

• CVE-2026-116964（eval）: リポジトリへの書き込み権限を持つ者が環境変数の書き出しスクリプトにシェルコマンドを仕込むと、マニフェスト同期のスクリプトが検証なしにその出力を評価します。CI/CD の実行環境で任意のコードが動き、認証トークンやデプロイ用の資格情報を盗まれ、本番環境への不正アクセスにつながり得ます。Red Hat の説明では、現時点の緩和は悪意ある変更依頼（PR/MR）をレビューで止めることだけです。
• CVE-2026-114217（トークンの平文保存）: 自動化スクリプトが GitHub トークンを平文でランナー上に置き、後始末をしません。攻撃にはランナー上で既にコードを実行できることが前提で、トークンを読まれると、ソースの改ざんやリリース成果物の改変につながり得ます。
• CVE-2026-116086（jq 注入）: Issue 管理のワークフローが、利用者の入力した Issue タイトルをそのまま jq のクエリに組み込みます。実行を起動できる権限があれば、フィルターを注入して、リポジトリの照会結果に含まれる機密をログに出力させられます。Red Hat の説明では影響は情報漏えいに限られ、OS のコード実行やクラスターの侵害は伴わないとされています。
• CVE-2026-117681（TLS 検証の省略）: 既定のサービス認証局がない環境で、UI プロキシが検証を無効にしたまま内部サービスへ接続します。その接続にクラスター全体で使えるなりすまし権限付きのトークンが付くため、同じネットワーク上の攻撃者が通信を傍受できれば、クラスターの管理権限を得られ得ます。Red Hat の説明では、標準の OpenShift ではサービス CA が自動で証明書を提供するため検証が維持され、影響は非 OpenShift の Kubernetes に限られます。

悪用の条件

• 116964・116086: リポジトリへの書き込み、またはワークフロー起動の権限が必要です。外部から権限なしに突ける種類ではありません。
• 114217: ランナー上で既にコードを実行できる（ローカルの）攻撃者が前提です。
• 117681: 同一ネットワーク上で通信を傍受できること（攻撃条件の複雑さは高）に加え、非 OpenShift の環境で既定のサービス CA がない構成であることが前提です。

対応

1. Konflux CI を使っている場合は、公式リポジトリと Red Hat のセキュリティ情報で、各 CVE の修正の有無を確認します（現時点で GitHub の勧告には修正版が書かれていません）。
2. 修正が出るまでは、書き込み権限・ワークフロー起動権限を絞り、CI に入る変更依頼のレビューを厳しくします。
3. CI のランナーに残った GitHub トークンやワークフローのログに、心当たりのない参照・出力がないか確認し、疑わしい場合はトークンを失効させます。
4. 非 OpenShift の Kubernetes で UI プロキシを動かしている場合は、内部サービスの証明書を信頼できる認証局で用意し、TLS 検証が有効になっているかを確認します。

未確認の点

• 4 件とも、GitHub の勧告に対象版・修正版・修正コミットの記載がありません。konflux-ci の最新リリース候補は v0.2.3-rc.6（10/26）ですが、これらの修正を含むかは未確認です。
• NVD は 10/31 に 4 件を登録しましたが、状態は Received（NVD 自身の評価は未確認）です。上の CVSS は GitHub の値で、Red Hat の公開データでは CVSS が draft 扱いです。
• EPSS は公開直後のため未算出です。悪用の報告は見つかっていません（KEV 掲載なし）。
• 実際の環境での再現は確認していません。記載は勧告と公開情報に基づきます。