--- title: "Konflux CI に 4 件の High 勧告（CVE-2026-116964 ほか）: CI スクリプトの eval・トークン平文・jq 注入、UI プロキシの TLS 検証省略" url: https://n-t-p.io/worldsecurity/articles/konflux-ci-eval-token-jq-ui-proxy-tls-4cves-2026-116964 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-116964, CVE-2026-114217, CVE-2026-116086, CVE-2026-117681 --- # Konflux CI に 4 件の High 勧告（CVE-2026-116964 ほか）: CI スクリプトの eval・トークン平文・jq 注入、UI プロキシの TLS 検証省略 > **TL;DR:** Konflux CI に High の勧告 4 件（CVE-2026-116964・114217・116086・117681、CVSS v3.1 8.0〜8.8）。CI スクリプトの eval によるコード実行、GitHub トークンの平文残存、jq 注入による機密のログ出力、非 OpenShift での UI プロキシの TLS 検証省略。いずれも対象版・修正版は勧告に記載なしで、修正の有無は未確認。KEV 掲載なし、EPSS 未算出（公開直後）。 **要点** - Konflux CI で 4 件の High（CVSS v3.1 8.0〜8.8）: eval によるコード実行、GitHub トークンの平文残存、jq 注入による情報漏えい、UI プロキシの TLS 検証省略 - 116964・116086 はリポジトリ書き込みまたはワークフロー起動の権限、114217 はランナー上のコード実行、117681 は同一ネットワーク上の傍受と非 OpenShift 環境が前提 - GitHub の勧告に対象版・修正版・修正コミットの記載はなく、修正の有無は未確認（最新の候補版 v0.2.3-rc.6 に含まれるかも未確認） - 当面の対策は書き込み・起動権限の絞り込み、変更依頼のレビュー強化、ランナー上のトークンとログの点検、TLS 検証の確認 - NVD は Received で評価未確認。KEV 掲載なし、EPSS 公開直後のため未算出 Red Hat が管理するオープンソースの CI/CD 基盤 Konflux CI（konflux-ci）について、2026 年 10 月 28〜31 日に 4 件の CVE が公開されました。GitHub Advisory の深刻度はいずれも High で、CVSS v3.1 は 8.0〜8.8 です。4 件とも GitHub の勧告には対象版・修正版の記載がなく、修正の有無は現時点で確認できていません。CISA の KEV には載っておらず、EPSS は公開直後のため未算出です。 ## 4 件の概要 | CVE | 内容 | CWE | CVSS v3.1 | | --- | --- | --- | --- | | CVE-2026-116964 | 環境変数を書き出すスクリプトにシェルコマンドを埋め込むと、マニフェスト同期スクリプトが出力を `eval` で評価し、CI/CD の実行環境で任意のコードが動く | CWE-94 | 8.4 | | CVE-2026-114217 | CI の自動化スクリプトが GitHub のアクセストークンを平文でランナー上に残し、実行後も消さない | CWE-312 | 8.6 | | CVE-2026-116086 | ワークフローの実行を起動できる者が、細工した Issue タイトルで `jq` のフィルターを注入し、API 資格情報などをワークフローのログに出させる | CWE-94 | 8.8 | | CVE-2026-117681 | 非 OpenShift の Kubernetes で、UI プロキシが内部バックエンドへの TLS 証明書検証を自動的に無効にし、ユーザーなりすまし権限を持つトークンが傍受され得る | CWE-295 | 8.0 | ## 何が起きるか - **CVE-2026-116964（eval）**: リポジトリへの書き込み権限を持つ者が環境変数の書き出しスクリプトにシェルコマンドを仕込むと、マニフェスト同期のスクリプトが検証なしにその出力を評価します。CI/CD の実行環境で任意のコードが動き、認証トークンやデプロイ用の資格情報を盗まれ、本番環境への不正アクセスにつながり得ます。Red Hat の説明では、現時点の緩和は悪意ある変更依頼（PR/MR）をレビューで止めることだけです。 - **CVE-2026-114217（トークンの平文保存）**: 自動化スクリプトが GitHub トークンを平文でランナー上に置き、後始末をしません。攻撃にはランナー上で既にコードを実行できることが前提で、トークンを読まれると、ソースの改ざんやリリース成果物の改変につながり得ます。 - **CVE-2026-116086（jq 注入）**: Issue 管理のワークフローが、利用者の入力した Issue タイトルをそのまま `jq` のクエリに組み込みます。実行を起動できる権限があれば、フィルターを注入して、リポジトリの照会結果に含まれる機密をログに出力させられます。Red Hat の説明では影響は情報漏えいに限られ、OS のコード実行やクラスターの侵害は伴わないとされています。 - **CVE-2026-117681（TLS 検証の省略）**: 既定のサービス認証局がない環境で、UI プロキシが検証を無効にしたまま内部サービスへ接続します。その接続にクラスター全体で使えるなりすまし権限付きのトークンが付くため、同じネットワーク上の攻撃者が通信を傍受できれば、クラスターの管理権限を得られ得ます。Red Hat の説明では、標準の OpenShift ではサービス CA が自動で証明書を提供するため検証が維持され、影響は非 OpenShift の Kubernetes に限られます。 ## 悪用の条件 - 116964・116086: リポジトリへの書き込み、またはワークフロー起動の権限が必要です。外部から権限なしに突ける種類ではありません。 - 114217: ランナー上で既にコードを実行できる（ローカルの）攻撃者が前提です。 - 117681: 同一ネットワーク上で通信を傍受できること（攻撃条件の複雑さは高）に加え、非 OpenShift の環境で既定のサービス CA がない構成であることが前提です。 ## 対応 1. Konflux CI を使っている場合は、公式リポジトリと Red Hat のセキュリティ情報で、各 CVE の修正の有無を確認します（現時点で GitHub の勧告には修正版が書かれていません）。 2. 修正が出るまでは、書き込み権限・ワークフロー起動権限を絞り、CI に入る変更依頼のレビューを厳しくします。 3. CI のランナーに残った GitHub トークンやワークフローのログに、心当たりのない参照・出力がないか確認し、疑わしい場合はトークンを失効させます。 4. 非 OpenShift の Kubernetes で UI プロキシを動かしている場合は、内部サービスの証明書を信頼できる認証局で用意し、TLS 検証が有効になっているかを確認します。 ## 未確認の点 - 4 件とも、GitHub の勧告に対象版・修正版・修正コミットの記載がありません。konflux-ci の最新リリース候補は v0.2.3-rc.6（10/26）ですが、これらの修正を含むかは未確認です。 - NVD は 10/31 に 4 件を登録しましたが、状態は Received（NVD 自身の評価は未確認）です。上の CVSS は GitHub の値で、Red Hat の公開データでは CVSS が draft 扱いです。 - EPSS は公開直後のため未算出です。悪用の報告は見つかっていません（KEV 掲載なし）。 - 実際の環境での再現は確認していません。記載は勧告と公開情報に基づきます。 ## 出典 - [GitHub Advisory GHSA-7c88-x24c-93mg（CVE-2026-116964）](https://github.com/advisories/GHSA-7c88-x24c-93mg) — GitHub - [GitHub Advisory GHSA-jw7j-xrxx-59jm（CVE-2026-114217）](https://github.com/advisories/GHSA-jw7j-xrxx-59jm) — GitHub - [GitHub Advisory GHSA-h98f-8r5p-hq5j（CVE-2026-116086）](https://github.com/advisories/GHSA-h98f-8r5p-hq5j) — GitHub - [GitHub Advisory GHSA-6rhq-p65w-3v27（CVE-2026-117681）](https://github.com/advisories/GHSA-6rhq-p65w-3v27) — GitHub - [Red Hat CVE-2026-116964](https://access.redhat.com/security/cve/CVE-2026-116964) — Red Hat - [Red Hat CVE-2026-114217](https://access.redhat.com/security/cve/CVE-2026-114217) — Red Hat - [Red Hat CVE-2026-116086](https://access.redhat.com/security/cve/CVE-2026-116086) — Red Hat - [Red Hat CVE-2026-117681](https://access.redhat.com/security/cve/CVE-2026-117681) — Red Hat - [NVD CVE-2026-116964](https://nvd.nist.gov/vuln/detail/CVE-2026-116964) — NIST NVD - [konflux-ci リリース](https://github.com/konflux-ci/konflux-ci/releases) — GitHub - [FIRST EPSS API](https://api.first.org/data/v1/epss?cve=CVE-2026-116964) — FIRST - [CISA Known Exploited Vulnerabilities Catalog（JSON）](https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/konflux-ci-eval-token-jq-ui-proxy-tls-4cves-2026-116964