JVNDB-2026-005012

Akuityのkargoにおける不正な認証に関する脆弱性

Kargoはソフトウェアアーティファクトのプロモーションを管理および自動化するソフトウェアです。バージョン1.7.0からv1.7.8、v1.8.11、およびv1.9.3の前まで、Kargoの旧gRPC APIおよび新しいREST APIのバッチリソース作成エンドポイントはマルチドキュメントYAMLペイロードを受け入れていました。特別に細工されたペイロードによって、両エンドポイントのロジックに存在するバグが発現し、APIサーバー自身の権限を用いて既存のプロジェクトの基盤となる名前空間に任意のリソース（一部の特定タイプのみ）を挿入できるという意図しない動作が引き起こされます。特に、攻撃者はこれを自身の権限を昇格させる手段として悪用可能であり、その後リモートコード実行や秘密情報の漏洩を達成するために利用する可能性があります。漏洩したアーティファクトリポジトリの認証情報は、さらなる攻撃を実行するために活用される恐れがあります。Kargoのコントロールプレーンの基盤となるKubernetesクラスターの一部の構成においては、昇格された権限を使用してkubectl経由でリモートコード実行や秘密情報の漏洩を達成することも可能です。これにより攻撃の複雑さが軽減されますが、最悪のシナリオはこれがなくても完全に達成可能です。この脆弱性はv1.7.8、v1.8.11、およびv1.9.3で修正されています。

Akuity

• kargo 1.7.0 以上 1.7.8 未満
• kargo 1.8.0 以上 1.8.11 未満
• kargo 1.9.0 以上 1.9.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Authorization Bypass Vulnerability in Batch Resource Creation API Endpoints  Advisory  akuity/kargo  GitHub

1. 不正な認証(CWE-863) [その他]

1. CVE-2026-27112

1. National Vulnerability Database (NVD) : CVE-2026-27112
2. 関連文書 : Merge commit from fork  akuity/kargo@155c685  GitHub

• [2026年02月27日]
    掲載