CVE-2026-53576

概要

Kestraは、オープンソースのイベント駆動型オーケストレーションプラットフォームです。1.0.45および1.3.21より前のバージョンでは、REST APIの認証フィルター（`@Filter("/api/v1/**")`）が、パスが `/configs` で終わる任意のリクエストをパブリックなインスタンス設定エンドポイントとして扱い、資格情報のチェックを行わずに転送していました。kestraは、呼び出し側が選択するURLパスセグメント（`/api/v1/{tenant}/flows/{namespace}`、`/api/v1/{tenant}/executions/{namespace}/{id}`、`/api/v1/{tenant}/namespaces/{namespace}/kv/{key}`）によってリソースを指定します。匿名の呼び出し側は、リテラル `configs` を最後のセグメントとして選択し、そのリクエストはBasic-Authを完全にバイパスします。このバイパスはフロー作成および実行トリガーのルートに到達するため、認証されていない呼び出し側は、ShellまたはProcessタスクを含むフローを作成して実行できます。このタスクはkestraコンテナ内でrootとして実行されます。公式の `docker-compose.yml` は `/var/run/docker.sock` をマウントするため、コンテナ内のrootはホストのDockerデーモンに到達できます。この脆弱性は1.0.45および1.3.21で修正されています。

• CVE-2026-53576エクスプロイト

  Kestra 未認証RCEエクスプロイト (CVE-2026-53576)

• CVE-2026-49869スキャナー

  Kestra 認証バイパス脆弱性チェッカー