Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-94

CVE-2026-116964

Konflux-ci manifest betiklerinde eval ile uzaktan kod çalıştırma

konflux-ci

Yüksek 8,4 CVSS 3.1
Yayımlandı
Güncellendi
31 Eki 2026
Açık yaşı
0 gün
Kaydı açan
redhat

Yönetici özeti

Bu açık, yazılım teslim hatlarını ele geçirmeye ve üretim sistemlerine yetkisiz erişime yol açabilir. Hatlar kesintiye uğrayabilir veya gizli bilgiler sızabilir. Etkilenen sürümler kullanılıyorsa öncelikli olarak ele alınmalıdır.

ÖzetTürkçe

Konflux-ci'daki manifest senkronizasyon betikleri, ortam dışa aktarma betiklerinin çıktısını doğrulamadan dinamik olarak eval ile çalıştırıyor. Depoya yazma yetkisi olan bir saldırgan, bu betiklere shell komutları enjekte edebilir. Etkilenen sürümler 0.2.2 ve 0.2.3-rc.0'dır.

Saldırgan ne yapabilir?

Saldırgan CI/CD iş akışı ortamında keyfi kod çalıştırabilir; kimlik doğrulama token'larını ve dağıtım kimlik bilgilerini çalabilir ve üretim sistemlerine yetkisiz erişim kazanabilir.

Kaynaktaki açıklama (İngilizce)

A flaw was found in konflux-ci. An attacker with repository write access can achieve arbitrary code execution within the Continuous Integration and Continuous Delivery (CI/CD) workflow environment. By injecting shell commands into environment export scripts, the attacker causes manifest synchronization scripts to dynamically evaluate unvalidated script output. Successful exploitation allows the attacker to compromise CI/CD pipelines, steal sensitive authentication tokens and deployment credentials, and gain unauthorized access to production systems.

Üreticinin geçici önlemi (İngilizce)

Currently, the only mitigation in place is user review of malicious PRs/MRs. If a malicious commit is approved after minimal review, the attack is successful.

Beyond that, mitigation for this issue is either not available or the currently available options do not meet the Red Hat Product Security criteria comprising ease of use and deployment, applicability to widespread installation base, or stability.

Ne yapmalı?

  1. Satıcının sağladığı bilgilere göre bu sorun için şu anda bilinen bir düzeltilmiş sürüm bulunmamaktadır; etkilenen sürümler kullanılıyorsa durum satıcı kaynaklarından takip edilmelidir. Üretici
  2. Etkilenen sürümleri (0.2.2 ve 0.2.3-rc.0) kullanan CI/CD hatlarını, mümkünse geçici olarak devre dışı bırakın veya kısıtlayın. Genel öneri
  3. Depoya yazma yetkisi olan kullanıcıları gözden geçirin ve gereksiz yetkileri kaldırın. Genel öneri
  4. Birleştirilmeden önce tüm çekme isteklerini ve değişiklikleri dikkatle inceleyin; özellikle ortam dışa aktarma ve manifest betiklerindeki değişikliklere odaklanın. Genel öneri

Ek önlemler

  • CI/CD ortamındaki gizli bilgileri (token'lar, dağıtım kimlik bilgileri) düzenli olarak döndürün ve en az ayrıcalık ilkesini uygulayın. Genel öneri
  • Üretim ortamına erişimi olan kimlik bilgilerini mümkün olduğunca kısa ömürlü ve kapsamı dar tutun. Genel öneri
  • Hat çalıştırma kayıtlarını beklenmedik komut çalıştırma veya dış ağ bağlantısı açısından izleyin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
konflux-ci ≥ 0.2.2, ≤ 0.2.2 –
≥ 0.2.3-rc.0, ≤ 0.2.3-rc.0 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.