JVNDB-2026-005025

Akuityのkargoにおける不正な認証に関する脆弱性

Kargoはソフトウェアアーティファクトのプロモーションを管理および自動化するソフトウェアです。バージョン1.8.7、1.7.7、および1.6.3以前のバージョンでは、`GetConfig()` APIエンドポイントの認証チェックにバグが存在しました。このバグにより、有効性に関係なく任意の空でない`Bearer`トークン値を指定することで、認証されていないユーザーがこのエンドポイントにアクセスできました。この脆弱性により、接続されたArgo CDクラスターのエンドポイントなどの設定データが漏洩する可能性がありました。このデータを攻撃者が入手すると、クラスターのURLや名前空間を列挙し、後続の攻撃に利用する恐れがあります。さらに、同じバグは`RefreshResource`エンドポイントにも影響を及ぼしました。このエンドポイントは情報漏洩にはつながりませんが、認証されていない攻撃者がKargo APIに対してサービス妨害（DoS）攻撃を行うために使用される可能性があります。`RefreshResource`は特定のKubernetesリソースに注釈を設定し調整をトリガーしますが、これが連続して実行されるとKubernetes APIサーバーへの正当なリクエストが遅延する可能性があります。この問題はKargoバージョン1.8.7、1.7.7、および1.6.3で修正されました。この問題に対する回避策はありません。

Akuity

• kargo 1.6.3 未満
• kargo 1.7.0 以上 1.7.7 未満
• kargo 1.8.0 以上 1.8.7 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアの一部が停止する可能性があります。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : `GetConfig()` and `RefreshResource()` API endpoints allow unauthenticated access  Advisory  akuity/kargo  GitHub

1. 不正な認証(CWE-863) [その他]

1. CVE-2026-24748

1. National Vulnerability Database (NVD) : CVE-2026-24748
2. 関連文書 : Merge commit from fork  akuity/kargo@aa28f81  GitHub
3. 関連文書 : Merge commit from fork  akuity/kargo@b3297ac  GitHub
4. 関連文書 : Merge commit from fork  akuity/kargo@23646ea  GitHub

• [2026年02月27日]
    掲載