JVNDB-2026-021830

Kestraにおけるパストラバーサルの脆弱性

Kestraはオープンソースのイベント駆動型オーケストレーションプラットフォームです。バージョン1.0.43および1.3.19以前のKestraでは、いくつかのAPIエンドポイントがクライアントからkestra:// URIを受け取り、StorageInterface.parentTraversalGuardを通じてローカルストレージバックエンドから基盤となるファイルを読み取っていました。このガードはURI.toString()のリテラルのみを検査するため、URLエンコードされた..（%2E%2E）は検出されません。後続のコードはURI.getPath()を呼び出し、%2E%2Eを再び..にデコードし、その結果のパスを正規化せずにPaths.get(...)に渡します。OSはopen(2)呼び出し時に..セグメントを解決するため、認証済みユーザーが単一の実行を行うだけで、Kestraプロセスがホストファイルシステム上でアクセス可能な任意のファイル（/etc/passwd、マウントされたシークレット、他のテナントの実行出力など）を読み取ることが可能となります。この脆弱性はバージョン1.0.43および1.3.19で修正されました。

Kestra

• Kestra 1.0.43 未満
• Kestra 1.1.0 以上 1.3.19 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Path traversal via URL-encoded "%2E%2E" in execution and namespace file endpoints allows arbitrary file read  Advisory  kestra-io/kestra  GitHub

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-45807

1. National Vulnerability Database (NVD) : CVE-2026-45807

• [2026年07月02日]
    掲載