レッドハットのKonflux CIに3件の脆弱性、CVSS 8.0以上
2026年10月31日に公開された3件の脆弱性はCVSSスコアが8.0以上で、GitHubトークンの平文保存などが含まれる。実際の悪用は未確認。
2026年10月31日、レッドハットのソフトウェア開発・デプロイ基盤「Konflux CI」に3件のセキュリティ脆弱性が公開された。dailysecu.comが伝えた。3件はいずれもCVSSスコアが8.0以上で、CVE-2026-114217、CVE-2026-116964、CVE-2026-117681として追跡されている。
CVSSスコア8.6のCVE-2026-114217は、継続的インテグレーション（CI）の作業環境内でGitHubのアクセストークンが平文で保存される問題である。
CVSSスコア8.4のCVE-2026-116964は、リポジトリへの書き込み権限を持つ攻撃者が、デプロイ自動化スクリプトに悪意あるコマンドを注入して実行できるというもの。
CVSSスコア8.0のCVE-2026-117681は、内部サービス間の通信で証明書検証が無効化される可能性があり、一定の条件下で認証トークンの窃取や権限昇格につながる問題である。
現時点で、これら3件の脆弱性が実際の攻撃で悪用された事例は確認されていない。
よくある質問
Konflux CIの脆弱性はいつ公開されましたか？
2026年10月31日に3件の脆弱性が公開されました。
脆弱性のCVSSスコアはいくつですか？
CVE-2026-114217が8.6、CVE-2026-116964が8.4、CVE-2026-117681が8.0です。
実際の攻撃での悪用は確認されていますか？
現時点で、3件の脆弱性が実際の攻撃で悪用された事例は確認されていません。