CVE-2026-117681
WysokieCVSS 8.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
W konflux-ci wykryto lukę, która pozwala na eskalację uprawnień, gdy proxy interfejsu użytkownika automatycznie wyłącza weryfikację certyfikatów TLS dla połączeń z wewnętrznymi usługami backendu w środowiskach bez domyślnego urzędu certyfikacji usług. Proxy dołącza token uwierzytelniania o zasięgu klastra z uprawnieniami do personifikacji użytkownika, więc atakujący w sąsiedniej sieci może przechwycić poświadczenia i uzyskać pełną kontrolę administracyjną nad klastrem.
Ocena ryzyka
Atakujący w sąsiedniej sieci może przechwycić token uwierzytelniania i uzyskać pełne uprawnienia administracyjne w klastrze. Prowadzi to do całkowitego przejęcia środowiska konflux-ci.
Rekomendacja
Zaktualizuj konflux-ci do wersji zawierającej poprawkę. Upewnij się, że weryfikacja certyfikatów TLS jest wymuszona, a ruch wewnętrzny jest odpowiednio zabezpieczony.
Inne podatności w konflux-ci
Zobacz wszystkie- CVE-2026-116958Średnie
W konflux-ci wykryto podatność umożliwiającą wykonanie dowolnego kodu z powodu nieprawidłowego cytowania zmiennych powłoki w skryptach wdrożeniowych. Lokalny atakujący mogący dostarczyć argumenty do tych skryptów może wywołać nieoczekiwane podstawienie poleceń i wykonać polecenia z uprawnieniami runnera wdrożeniowego.
- CVE-2026-116964Wysokie
W konflux-ci wykryto lukę, która pozwala atakującemu z prawem zapisu do repozytorium na wykonanie dowolnego kodu w środowisku CI/CD. Poprzez wstrzyknięcie poleceń powłoki do skryptów eksportu środowiska atakujący powoduje, że skrypty synchronizacji manifestów dynamicznie oceniają niezweryfikowane dane wyjściowe. Udana eksploatacja pozwala na przejęcie potoków CI/CD, kradzież tokenów uwierzytelniania i poświadczeń wdrożeniowych oraz nieautoryzowany dostęp do systemów produkcyjnych.
- CVE-2026-116086Wysokie
W konflux-ci wykryto lukę, która pozwala atakującemu z uprawnieniem do wyzwalania automatycznych przepływów pracy na ujawnienie informacji poprzez dostarczanie spreparowanych tytułów zgłoszeń do skryptów przepływu pracy. Skrypt włącza tytuły dostarczone przez użytkownika bezpośrednio do zapytań danych bez odpowiedniej sanityzacji, co pozwala na wstrzyknięcie złośliwych poleceń filtrujących. W rezultacie poufne informacje, takie jak poświadczenia API, klucze wdrożeniowe i notatki wewnętrzne, mogą zostać ujawnione w logach przepływu pracy.
- CVE-2026-114217Wysokie
W konflux-ci wykryto lukę, w której skrypty automatyzacji CI przechowują wrażliwe tokeny dostępu GitHub w postaci jawnej na runnerze bez ich czyszczenia po wykonaniu. Lokalny atakujący z dostępem do środowiska CI może odczytać te poświadczenia, aby uzyskać nieautoryzowany dostęp do repozytorium, potencjalnie modyfikując kod źródłowy lub artefakty wydania.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in konflux-ci. This vulnerability allows privilege escalation when the user interface proxy automatically disables Transport Layer Security (TLS) certificate verification for connections to internal backend services in environments lacking a default service certificate authority. Because the proxy attaches a cluster-scoped authentication token with user impersonation rights to these requests, an adjacent network attacker capable of intercepting traffic can capture the credentials to gain full administrative control of the cluster.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS