الكشف عن ثغرات أمنية متعددة في خط أنابيب البرمجيات Red Hat Konflux CI

رصد باحثون أمنيون مجموعة من الثغرات البرمجية عبر المكونات الأساسية لمنصة Red Hat Konflux CI، وهي منصة مفتوحة المصدر وسحابية الأصل مصممة لتجميع سلاسل توريد البرمجيات الآمنة والتحقق منها. وتوثق عمليات الكشف، التي فُهرست تحت أربعة معرفات منفصلة للثغرات والتعرضات الشائعة (Common Vulnerabilities and Exposures) في 31 أكتوبر 2026، عيوباً تتراوح بين حقن أوامر نظام التشغيل، والتحقق غير السليم من الشهادات، والتعرض غير المصرح به للبيانات. وتؤثر نقاط الضعف هذه على أنظمة فرعية متعددة داخل بيئة خط الأنابيب الآلية، بما في ذلك خدمات وكيل واجهة المستخدم، ومحركات التنفيذ الأساسية، ونصوص التنسيق البرمجية عبر الإصدارات حتى 0.2.2 والإصدار التجريبي المرشح 0.2.3-rc.0.

## حقائق رئيسية

- خُصصت أربعة سجلات منفصلة للثغرات والتعرضات الشائعة (CVE) لمكونات Red Hat Konflux CI في 31 أكتوبر 2026. - تؤثر ثغرة حقن أوامر نظام التشغيل CVE-2026-116964 على إصدارات Konflux CI حتى الإصدار 0.2.2 والإصدار التجريبي المرشح 0.2.3-rc.0. - تتسبب الثغرة CVE-2026-117681 في فشل التحقق من صحة الشهادات داخل النظام الفرعي لوكيل واجهة المستخدم (User Interface Proxy) في Konflux CI. - تؤثر ثغرة كشف المعلومات غير المنضبط CVE-2026-114217 على النصوص البرمجية للأتمتة عبر الإصدار 0.2.2 والإصدار التجريبي المرشح 0.2.3-rc.0 وفرع التطوير الرئيسي. - تسمح الثغرة CVE-2026-116086 بالكشف عن معلومات حساسة عبر نصوص تنفيذ مسارات العمل في الإصدارات حتى 0.2.2 والإصدار التجريبي المرشح 0.2.3-rc.0.

## ما حدث

فهرّست خدمة تتبع الثغرات VulDB أربع ثغرات أمنية متباينة تستهدف بنية التكامل المستمر والإصدار في Red Hat Konflux في 31 أكتوبر 2026. ويتعلق الخلل الوظيفي الأكثر خطورة ضمن هذه المجموعة، والمفهرس تحت المعرف CVE-2026-116964، بمسار لحقن أوامر نظام التشغيل داخل محرك Konflux CI الأساسي. وفي هذه الحالة، لا تخضع المدخلات المقدمة لأدوات التكامل المستمر لتنقية كافية قبل تنفيذها داخل حدود بيئة تشغيل المضيف أو الحاوية، مما يخلق ظروفاً تتيح لسلاسل نصية خارجية غير متوقعة تعديل التوجيهات التشغيلية. ويمتد خط الأساس المتأثر عبر حزم البرمجيات حتى الإصدار 0.2.2 ويشمل الإصدار التجريبي المرشح 0.2.3-rc.0.

وتؤدي نتيجة متزامنة، مسجلة برمز CVE-2026-117681، إلى تقويض ضوابط أمان النقل في وكيل واجهة المستخدم (User Interface Proxy) في Konflux CI. وينبع هذا الخلل من إجراءات معيبة للتحقق من الشهادات الرقمية، والتي تحكم كيفية مصادقة بوابة التنسيق الأمامية لهويات خوادم المنبع وتشفير الجلسات الإدارية ثنائية الاتجاه. وعندما تفشل عمليات التحقق أو يتم تجاوزها، يمكن لكيانات وسيطة اعتراض أو انتحال أو التلاعب بحركة المرور المشفرة التي تعبر واجهات شبكة الكتلة.

وتتعامل الثغرتان المتبقيتان مع تسريب البيانات غير المصرح به عبر إجراءات البناء. فوفقاً لما تم توثيقه تحت المعرف CVE-2026-114217، تكشف نصوص الأتمتة البرمجية داخل Konflux CI عن معلومات حساسة بصورة غير ملائمة، وهي مشكلة مستمرة في حزم البناء حتى الإصدار 0.2.2 وحزمة البناء التجريبية 0.2.3-rc.0 والفرع الرئيسي لمستودع المصدر. وتزامناً مع ذلك، تحدد الثغرة CVE-2026-116086 حالة كشف بيانات موازية تكمن تحديداً في نصوص أتمتة مسارات العمل العاملة ضمن نطاق الإصدار ذاته حتى 0.2.2 و0.2.3-rc.0. وينطوي كلا مساري الكشف على مخاطر إطلاق حالات البناء الداخلية أو تكوينات خط الأنابيب أو بيانات اعتماد وقت التشغيل البيئية في مخرجات التشخيص أو سجلات النظام أو الواجهات غير المميزة التي يمكن للجهات غير الإدارية الوصول إليها.

## أهمية هذا التطور

تمثل أنظمة التكامل المستمر والتسليم المستمر (CI/CD) مستوى التحكم المرجعي للبنية التحتية الرقمية الحديثة. ونظراً لأن منصات البناء المؤتمتة تستقبل شفرات برمجية مصدرية غير موثوقة من مستودعات عامة أو خاصة، وتجمع الملفات الثنائية، وتدمج طبقات الحاويات، وترسل الحزم الموقعة مباشرة إلى كتل الإنتاج، فإن أي اختراق لخط الأنابيب نفسه يحمل عواقب هيكلية واسعة النطاق. وعندما يخترق المهاجمون نظام التكامل المستمر في مؤسسة ما، فإنهم يتجاوزون الدفاعات المحيطية التقليدية تماماً، مما يمنحهم النفوذ اللازم لتنفيذ تلاعب بسلسلة توريد البرمجيات.

يفرض المزيج المحدد من نقاط الضعف المكتشفة في Konflux CI مخاطر معمارية مركبة. إذ يمنح حقن أوامر نظام التشغيل المساهمين الخبثاء الذين يقدمون طلبات السحب (pull requests) أو يتحكمون في معلمات خط الأنابيب مساراً لتنفيذ أوامر نظام غير مصرح بها داخل بيئات التشغيل (runner environments). وفي منصات التكامل المستمر، غالباً ما تمتلك بيئات التشغيل بيانات اعتماد مؤقتة ورموز وصول للكتل وأسراراً إدارية لازمة لتوقيع الحزم البرمجية ودفع الصور إلى سجلات مثل Quay أو Docker Hub. وإذا استغل المهاجم حقن الأوامر للهروب من حجيرات المهام المعزولة (task pods) أو المساس بعمليات المضيف، فقد يتم الاستيلاء على تلك الأسرار التشغيلية عالية القيمة.

علاوة على ذلك، يخلق ضعف التحقق من الشهادات المكتشف في وكيل واجهة المستخدم ثغرات قابلة للاستغلال لهجمات الوسيط (machine-in-the-middle). ويعتمد مهندسو منصات المؤسسات على واجهات المستخدم على الويب ووكلاء إعادة التوجيه لمراقبة عمليات البناء وفحص السجلات وإدارة تكوينات الأسرار. ويسمح تعطيل التحقق من سلسلة الشهادات أو إساءة إدارته للمتربصين الخبثاء على الشبكات الداخلية بانتحال النقاط الطرفية أو تسميم محفزات البناء أو جمع رموز الجلسات. وبالاقتران مع ثغرتي كشف المعلومات المؤثرتين على نصوص مسارات العمل والأتمتة، فإن خرائط التكوين الداخلي ومفاتيح النشر ومتغيرات البيئة الحساسة تصبح عرضة للتسرب المنهجي. وفي القطاعات المنظمة مثل التمويل والدفاع والرعاية الصحية، ينتهك الكشف غير المراقب للمعلومات في خطوط أنابيب حزم البرمجيات أطر الامتثال الصارمة، بما في ذلك البرنامج الفيدرالي لإدارة المخاطر والترخيص (FedRAMP) وعمليات التدقيق الأمني الداخلي.

## خلفية عامة

احتضنت Red Hat مشروع Konflux في الأصل—والذي عُرف سابقاً بأسماء رمزية للتطوير من بينها StoneSoup—لتأسيس نظام لبناء البرمجيات من الفئة المؤسسية وسحابي الأصل ومصمم خصيصاً لبيئات Kubernetes وOpenShift. وقد صُممت Konflux، المبنية مباشرة فوق إطار عمل خطوط أنابيب Tekton المفتوح المصدر، لتلبية المتطلبات المعقدة المحددة بموجب إطار مستويات سلاسل التوريد لمصنوعات البرمجيات (Supply-chain Levels for Software Artifacts - SLSA)، وهو معيار صناعي مصمم لإحباط هجمات سلاسل التوريد المماثلة لحادثة SolarWinds عام 2020. وتعتمد توزيعات المؤسسات الحديثة على Konflux لتوليد مسارات تتبع غير قابلة للتلاعب، والتحقق من التوقيعات المشفرة، وإجراء فحوصات الثغرات في صور الحاويات، والحفاظ على قوائم ثابتة لمكونات البرمجيات (SBOMs).

ولأن Konflux مصممة كبنية مترابطة من الخدمات المصغرة ووحدات تحكم Kubernetes المخصصة وخطافات قبول الويب (admission webhooks) ووكلاء جانب العميل، فإن المكونات الفردية تتولى مهام إدارية متباينة. فتحلل نصوص مسارات العمل البرمجية مواصفات YAML التعريفية التي تحكم كيفية تشغيل خطوات البناء بالتسلسل، بينما تدير نصوص الأتمتة البرمجية تحفيز المهام وإرسال الإخطارات وانتقالات دورة حياة الإصدارات المرشحة. كما ينسق وكيل واجهة المستخدم المصادقة الآمنة بين المستخدمين النهائيين وواجهات برمجة تطبيقات Kubernetes الأساسية.

وعلى مدى السنوات الخمس الماضية، أصدرت سلطات الأمن السيبراني الوطنية، بما في ذلك وكالة الأمن السيبراني وأمن البنية التحتية (CISA) في الولايات المتحدة ووكالة الاتحاد الأوروبي للأمن السيبراني (ENISA)، تحذيرات متكررة بشأن استغلال خطوط الأنابيب. وتعمل خطوط أنابيب التطوير المعيارية إلى حد كبير دون تدخل بشري، حيث تعالج آلاف التحديثات البرمجية أسبوعياً. وتاريخياً، استهدف المهاجمون أدوات البناء الآلية مثل Jenkins وGitLab Runner وGitHub Actions عبر حقن النصوص البرمجية وسرقة بيانات الاعتماد. ويُظهر اكتشاف أخطاء تنفيذ الأوامر والتعامل مع الشهادات في منصات الجيل التالي مثل Konflux أنه على الرغم من التحديث المعماري نحو الحاويات سحابية الأصل، فإن المخاطر الأساسية لأمن التطبيقات تظل أنماط فشل مستمرة.

## ردود الفعل

لا يزال النقاش العام حول عمليات الكشف الجديدة عن ثغرات CVE مقتصراً على قواعد بيانات الهندسة وفهرسة الثغرات القياسية. وقد نسقت Red Hat تاريخياً التحديثات الأمنية من خلال فريق الاستجابة الأمنية التابع لها (Security Response Team)، وفهرسة درجات الخطورة بموجب نظام تقييم الثغرات الشائعة (CVSS) وإصدار مجموعات الحزم المعالجة عبر بوابة عملاء Red Hat Customer Portal وكتالوج حاويات المؤسسات.

ونظراً لأن Konflux يُوزع كمشروع مفتوح المصدر مستضاف على GitHub، فمن المتوقع أن يدمج المشرفون طلبات السحب التي تعالج تنقية المدخلات داخل مشغلات مسارات العمل والأتمتة، مع تشديد فرض مخزن الثقة للشهادات في خدمة وكيل واجهة المستخدم. ولم تبلغ مجموعات عملاء المؤسسات ولا فرق أبحاث الأمن المستقلة علناً عن أي استغلال فعلي نشط لهذه المدخلات المحددة من CVE في هذه المرحلة. وتراجع الفرق التشغيلية التي تدير نسخاً لاحقة سجلات الإيداع في المستودع وقنوات الإشعارات الاستشارية بعناية لمواءمة دورات النشر مع توزيعات التصحيحات الرسمية.

## ما نجهله حتى الآن

تظل تفاصيل تقنية جوهرية تحيط بالثغرات الأربع غير معلنة في الملخصات الأولية لقواعد البيانات. أولاً، لم يُحسم بعد تحديد المقاييس الأساسية وسلاسل المتجهات الرسمية لنظام تقييم الثغرات الشائعة (CVSS) بشكل موحد عبر مستودعات الثغرات الوطنية. وفي غياب درجات الأساس المنشورة، لا يمكن لمديري أمن المؤسسات الجزم رسمياً بما إذا كانت ثغرة حقن الأوامر قابلة للاستغلال من قبل جهات فاعلة عن بُعد دون مصادقة، أو ما إذا كانت تتطلب امتيازات تعاون مسبقة في المستودع.

ثانياً، لا توضح الإفصاحات ما إذا كان هناك كود استغلال لإثبات المفهوم متاحاً، أو ما إذا كانت الثغرات قد كُشفت عبر اختبارات الفحص الآلي الداخلي (automated fuzzing)، أو بلاغات برامج مكافآت الثغرات الخارجية، أو تدقيقات رسمية من أطراف ثالثة. ثالثاً، يظل نطاق المعالجة عبر الفروع النشطة غامضاً، لا سيما بالنسبة للثغرة CVE-2026-114217، التي تدرج صراحة فرع التطوير الرئيسي إلى جانب المنتجات البرمجية ذات الإصدارات المحددة. ويتحتم على مسؤولي المنصات انتظار سجلات التغيير الرسمية للتصحيحات لتحديد ما إذا كان التخفيف يتطلب ترقية وحدات تحكم الكتلة الأساسية، أو مراجعة تعريفات مهام Tekton، أو تدوير بيانات الاعتماد التشغيلية الحالية لـ CI/CD.

## ما يجب مراقبته

ينبغي للمؤسسات التي تشغل عمليات نشر Konflux CI مراقبة عدة محطات تشغيلية خلال الأيام والأسابيع المقبلة:

- إطلاق حزم بناء مصححة تتجاوز الإصدارين 0.2.2 و0.2.3-rc.0 على المستودع الرسمي لمشروع المنبع. - نشر إرشادات أمنية شاملة من Red Hat Security Advisories (RHSAs) توفر مقاييس مفصلة لنظام تقييم الثغرات الشائعة وتوجيهات معالجة خطوة بخطوة. - فروق الإيداع (commit diffs) في مشروع المنبع التي توضح بالتفصيل كيفية تعديل منطق تحليل المعلمات في نصوص مسارات العمل لتحييد مسار حقن الأوامر. - تحديثات التكوين التشفيري داخل وكيل واجهة المستخدم لضمان الامتثال الكامل للتحقق القياسي من البنية التحتية للمفاتيح العامة (PKI). - إجراءات التدقيق الموصى بها لمهندسي المنصات لفحص سجلات بيئات التشغيل بحثاً عن أدلة على تسريب تاريخي للمعلومات أو تنفيذ غير معتاد لأوامر خارجية.

يُلخص هذا التحليل سجلات الثغرات التقنية الأولية التي فُهرست ونُشرت في الأصل بواسطة VulDB في 31 أكتوبر 2026، موثقةً الثغرات CVE-2026-116964 وCVE-2026-117681 وCVE-2026-114217 وCVE-2026-116086.