JVNDB-2026-021822

Kestraにおける複数の脆弱性

Kestraはオープンソースのイベント駆動型オーケストレーションプラットフォームです。1.0.45および1.3.21より前のバージョンでは、Kestra OSSのAuthenticationFilterがrequest.getPath().endsWith("/configs")を使用してBasic認証からパブリック設定エンドポイントをホワイトリストに登録していました。このチェックは正確なパスマッチではなくサフィックス（接尾辞）マッチであったため、最後のセグメントがconfigsである任意のAPIパスは認証を完全にバイパスしてしまいます。認証されていないリモート攻撃者はこれを悪用して、資格情報なしに任意のワークフローを作成および実行できます。Kestraはデフォルトでスクリプト実行プラグイン（plugin-script-shell、plugin-script-pythonなど）を有効にして出荷されるため、この脆弱性はKestraワーカーコンテナ内でroot権限による認証不要のリモートコード実行を直接引き起こします。この脆弱性は1.0.45および1.3.21で修正されました。

Kestra

• Kestra 1.0.45 未満
• Kestra 1.1.0 以上 1.3.21 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unauthenticated Remote Code Execution via Authentication Bypass in `AuthenticationFilter`  Advisory  kestra-io/kestra  GitHub

1. 不完全なブラックリスト(CWE-184) [その他]
2. 不適切な認証(CWE-287) [その他]
3. OSコマンドインジェクション(CWE-78) [その他]
4. サーバサイドのリクエストフォージェリ(CWE-918) [その他]

1. CVE-2026-49869

1. National Vulnerability Database (NVD) : CVE-2026-49869

• [2026年07月02日]
    掲載