В конвейере ПО Red Hat Konflux CI обнаружен ряд уязвимостей

Исследователи в области безопасности выявили группу уязвимостей в ключевых компонентах Red Hat Konflux CI — облачной платформы с открытым исходным кодом, предназначенной для сборки и верификации безопасных цепочек поставок программного обеспечения. В отчетах, зарегистрированных 31 октября 2026 года под четырьмя отдельными идентификаторами Common Vulnerabilities and Exposures, описаны бреши в диапазоне от внедрения команд операционной системы до ненадлежащей валидации сертификатов и несанкционированного раскрытия данных. Уязвимости затрагивают несколько подсистем внутри среды автоматизированного конвейера, включая прокси-службы пользовательского интерфейса, основные механизмы исполнения и скрипты оркестрации в версиях вплоть до 0.2.2 и релиз-кандидата 0.2.3-rc.0.

## Key facts

- Четыре отдельные записи Common Vulnerabilities and Exposures (CVE) были присвоены компонентам Red Hat Konflux CI 31 октября 2026 года. - Уязвимость внедрения команд операционной системы CVE-2026-116964 затрагивает версии Konflux CI вплоть до 0.2.2 и релиз-кандидат 0.2.3-rc.0. - Брешь CVE-2026-117681 приводит к сбою валидации сертификатов в подсистеме Konflux CI User Interface Proxy. - Уязвимость неконтролируемого раскрытия информации CVE-2026-114217 затрагивает скрипты автоматизации в версии 0.2.2, релиз-кандидате 0.2.3-rc.0 и основной ветке разработки. - Брешь CVE-2026-116086 допускает утечку конфиденциальной информации через скрипты выполнения рабочих процессов в релизах вплоть до версии 0.2.2 и релиз-кандидата 0.2.3-rc.0.

## What happened

Служба отслеживания уязвимостей VulDB 31 октября 2026 года проиндексировала четыре различные уязвимости безопасности, направленные на архитектуру непрерывной интеграции и релизов Red Hat Konflux. Наиболее критический функциональный дефект в этой группе, зарегистрированный как CVE-2026-116964, связан с вектором внедрения команд операционной системы внутри основного движка Konflux CI. Из-за этой проблемы входные данные, поступающие в инструментарий непрерывной интеграции, недостаточно очищаются перед выполнением в границах хоста или среды выполнения контейнеров, что создает условия, при которых непредусмотренные внешние строки могут изменять операционные директивы. Затронутая кодовая база охватывает пакеты программного обеспечения вплоть до версии 0.2.2 и включает релиз-кандидат 0.2.3-rc.0.

Другая сопутствующая находка, зафиксированная как CVE-2026-117681, нарушает механизмы безопасности транспортного уровня в Konflux CI User Interface Proxy. Эта брешь вызвана некорректными процедурами проверки цифровых сертификатов, которые определяют, как фронтенд-портал оркестрации аутентифицирует вышестоящие серверы и шифрует двунаправленные административные сессии. В случае сбоя или обхода проверок промежуточные узлы могут перехватывать, подменять или манипулировать зашифрованным трафиком, проходящим через сетевые интерфейсы кластера.

Оставшиеся две уязвимости связаны с несанкционированной утечкой данных в ходе процедур сборки. Как указано в описании CVE-2026-114217, скрипты автоматизации внутри Konflux CI ненадлежащим образом раскрывают конфиденциальную информацию; эта проблема сохраняется в сборках вплоть до версии 0.2.2, тестовой сборке 0.2.3-rc.0 и в основной ветке репозитория исходного кода. Одновременно с этим CVE-2026-116086 выделяет аналогичное состояние раскрытия данных, присутствующее непосредственно в скриптах автоматизации рабочих процессов в тех же пределах версий до 0.2.2 и 0.2.3-rc.0. Оба вектора создают риск попадания внутреннего состояния сборок, конфигураций конвейера или учетных данных среды выполнения в диагностический вывод, журналы или непривилегированные интерфейсы, доступные пользователям без прав администратора.

## Why it matters

Системы непрерывной интеграции и непрерывной доставки (CI/CD) представляют собой ключевой уровень управления современной цифровой инфраструктурой. Поскольку автоматизированные платформы сборок принимают непроверенный исходный код из публичных или частных репозиториев, компилируют бинарные файлы, упаковывают слои контейнеров и отправляют подписанные пакеты напрямую в производственные кластеры, любая компрометация самого конвейера влечет за собой масштабные системные последствия. Когда злоумышленники проникают в корпоративную систему непрерывной интеграции, они полностью обходят традиционную периметральную защиту, получая возможность вмешиваться в цепочку поставок программного обеспечения.

Выявленная в Konflux CI комбинация уязвимостей влечет за собой совокупные архитектурные риски. Внедрение команд операционной системы дает злоумышленникам, отправляющим pull request или контролирующим параметры конвейера, возможность выполнять несанкционированные системные команды внутри сред запуска (runners). На платформах непрерывной интеграции среды запуска часто располагают временными учетными данными, токенами доступа к кластеру и административными секретами, необходимыми для подписания артефактов и отправки образов в реестры, такие как Quay или Docker Hub. Если атакующий воспользуется внедрением команд для выхода за пределы изолированных подов задач или компрометации процессов хоста, эти критически важные операционные секреты могут быть перехвачены.

Кроме того, брешь в валидации сертификатов в User Interface Proxy открывает возможности для атак типа «машина посередине» (machine-in-the-middle). Инженеры корпоративных платформ используют веб-интерфейсы и прокси-перенаправители для мониторинга сборок, проверки логов и управления конфигурациями секретов. Отключение или некорректная обработка проверки цепочки сертификатов позволяет злоумышленникам во внутренних сетях подменять эндпоинты, внедрять вредоносные триггеры сборок или перехватывать токены сессий. В сочетании с двумя уязвимостями раскрытия информации, затрагивающими скрипты рабочих процессов и автоматизации, внутренние карты конфигураций, ключи развертывания и чувствительные переменные окружения подвергаются риску масштабной утечки. В регулируемых секторах, таких как финансы, оборона и здравоохранение, непреднамеренное раскрытие информации в конвейерах сборки ПО нарушает строгие стандарты соответствия, включая Федеральную программу управления рисками и авторизацией США (FedRAMP) и внутренние аудиты безопасности.

## The background

Изначально Red Hat развивала Konflux (ранее известный под проектными кодовыми именами, включая StoneSoup) как облачную систему сборки программного обеспечения корпоративного уровня, адаптированную для сред Kubernetes и OpenShift. Построенный непосредственно на базе фреймворка конвейеров с открытым исходным кодом Tekton, Konflux разработан для удовлетворения сложных требований, изложенных в спецификации Supply-chain Levels for Software Artifacts (SLSA) — отраслевом стандарте для предотвращения атак на цепочки поставок, подобных инциденту с SolarWinds в 2020 году. Современные корпоративные дистрибутивы полагаются на Konflux для генерации защищенных от подделки данных о происхождении ПО, проверки криптографических подписей, сканирования образов контейнеров на уязвимости и ведения неизменяемых спецификаций программного обеспечения (SBOM).

Поскольку Konflux спроектирован как взаимосвязанный комплекс микросервисов, пользовательских контроллеров Kubernetes, вебхуков допуска (admission webhooks) и клиентских прокси, отдельные компоненты выполняют строго определенные административные задачи. Скрипты рабочих процессов разбирают декларативные спецификации YAML, определяющие очередность шагов сборки, тогда как скрипты автоматизации управляют запуском задач, отправкой уведомлений и переходами жизненного цикла релиз-кандидатов. User Interface Proxy организует безопасную аутентификацию между конечными пользователями и базовыми программными интерфейсами приложений (API) Kubernetes.

За последние пять лет национальные ведомства по кибербезопасности, включая Агентство по кибербезопасности и защите инфраструктуры США (CISA) и Агентство Европейского союза по кибербезопасности (ENISA), неоднократно предупреждали об угрозах эксплуатации конвейеров. Стандартизированные конвейеры разработки функционируют практически без вмешательства человека, обрабатывая тысячи коммитов еженедельно. Исторически целями атак становились такие инструменты автоматизированной сборки, как Jenkins, GitLab Runner и GitHub Actions, через инъекции скриптов и кражу учетных данных. Обнаружение ошибок выполнения команд и обработки сертификатов в платформах нового поколения, таких как Konflux, демонстрирует, что, несмотря на архитектурную модернизацию в сторону облачных контейнеров, базовые проблемы безопасности приложений остаются постоянным источником сбоев.

## Reaction

Публичное обсуждение новых записей CVE пока сосредоточено на стандартных инженерных базах данных и каталогах уязвимостей. Исторически Red Hat координирует выпуск обновлений безопасности через свою группу реагирования Security Response Team, классифицируя уровень опасности по шкале Common Vulnerability Scoring System (CVSS) и выпуская исправленные версии пакетов на портале Red Hat Customer Portal и в корпоративном каталоге контейнеров.

Поскольку Konflux распространяется как проект с открытым исходным кодом на GitHub, ожидается, что мейнтейнеры примут пулл-реквесты, исправляющие валидацию входных данных в средах запуска рабочих процессов и автоматизации, а также усилят соблюдение доверия к хранилищам сертификатов в сервисе UI Proxy. На данном этапе ни корпоративные пользователи, ни независимые группы исследователей не сообщали о случаях реальной активной эксплуатации указанных уязвимостей CVE в полевых условиях. Эксплуатационные службы, поддерживающие зависимые инсталляции, внимательно изучают историю коммитов в репозитории и каналы уведомлений, чтобы синхронизировать циклы развертывания с официальным выходом исправлений.

## What we don't know yet

Существенные технические подробности, касающиеся четырех уязвимостей, пока не раскрыты в предварительных сводках баз данных. Во-первых, официальные базовые метрики и векторные строки шкалы Common Vulnerability Scoring System (CVSS) еще не финализированы окончательно в национальных репозиториях уязвимостей. Без опубликованных базовых оценок специалисты по корпоративной безопасности не могут формально определить, доступна ли уязвимость внедрения команд неаутентифицированным удаленным злоумышленникам или же она требует наличия прав участника репозитория.

Во-вторых, в отчетах не уточняется, существуют ли рабочие концептуальные эксплойты (PoC) и были ли уязвимости обнаружены в ходе внутреннего автоматического фаззинга, сообщений в рамках программ bug bounty или официального стороннего аудита. В-третьих, остается неясной полнота исправлений в активных ветках, особенно в отношении CVE-2026-114217, где наряду с версионными артефактами явно указана основная ветка разработки. Администраторам платформ придется дождаться официальных списков изменений в патчах, чтобы понять, требует ли устранение проблем обновления базовых контроллеров кластера, пересмотра определений задач Tekton или смены действующих операционных учетных данных CI/CD.

## What to watch

Организациям, использующим развертывания Konflux CI, рекомендуется отслеживать ряд ключевых операционных этапов в ближайшие дни и недели:

- Выпуск исправленных сборок старше версий 0.2.2 и 0.2.3-rc.0 в официальном апстрим-репозитории проекта. - Публикацию подробных бюллетеней безопасности Red Hat Security Advisories (RHSA) с детализированными метриками Common Vulnerability Scoring System и пошаговыми инструкциями по устранению проблем. - Диффы коммитов в апстриме, подробно описывающие изменение логики парсинга параметров в скриптах рабочих процессов для нейтрализации вектора внедрения команд. - Обновления криптографических конфигураций в User Interface Proxy для обеспечения полного соответствия стандартной проверке инфраструктуры открытых ключей (PKI). - Рекомендованные процедуры аудита для инженеров платформ по проверке логов раннеров на предмет признаков прошлой утечки информации или выполнения нетипичных внешних команд.

Данный анализ обобщает предварительные технические отчеты об уязвимостях, первоначально проиндексированные и опубликованные VulDB 31 октября 2026 года и описывающие CVE-2026-116964, CVE-2026-117681, CVE-2026-114217 и CVE-2026-116086.