JVNDB-2026-005013

Akuityのkargoにおける認証の欠如に関する脆弱性

Kargoはソフトウェアアーティファクトのプロモーションを管理および自動化します。バージョンv1.9.0からv1.9.2まで、Kargoの認可モデルにはpromote動詞（標準的でないKubernetesの「ドルフィン動詞」）が含まれており、Freightをプロモーションパイプラインを通じて進める権限を管理します。この動詞はプロモーション関連のリソースを管理する権限とプロモーションをトリガーする権限を分離し、しばしば機密性の高い操作に対して細かいアクセス制御を可能にするために存在します。promote動詞はKargoのレガシーgRPC APIでは正しく強制されています。しかし、新しいREST APIの3つのエンドポイントではこのチェックが省略され、基盤となるリソース操作（freights/statusのパッチやpromotionsの作成）に対して標準のKubernetes RBACのみが利用されています。これにより、標準の権限は持っているがpromote権限は意図的に付与されていないユーザーが、本来の認可の境界を回避できてしまいます。影響を受けるエンドポイントは/v1beta1/projects/{project}/freight/{freight}/approve、/v1beta1/projects/{project}/stages/{stage}/promotions、および/v1beta1/projects/{project}/stages/{stage}/promotions/downstreamです。この脆弱性はv1.9.3で修正されました。

Akuity

• kargo 1.9.0 以上 1.9.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Missing Authorization Vulnerabilities in Approval & Promotion REST API Endpoints  Advisory  akuity/kargo  GitHub

1. 認証の欠如(CWE-862) [その他]

1. CVE-2026-27111

1. National Vulnerability Database (NVD) : CVE-2026-27111
2. 関連文書 : Merge commit from fork  akuity/kargo@833314c  GitHub

• [2026年02月27日]
    掲載