CVE-2026-49869: Kestra: AuthenticationFilter의 인증 우회를 통한 인증되지 않은 원격 코드 실행 | Kitploit

CVE-2026-49869

위험게시됨

Kestra: AuthenticationFilter의 인증 우회를 통한 인증되지 않은 원격 코드 실행

게시됨: 2026. 6. 26.
업데이트됨: 2026. 9. 3.
CNA 할당 중: GitHub_M
증거 관찰됨: 2026. 8. 8.

기본 CVSS

10.0/ 10위험

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

EPSS 확률 추정

1.9%

낮음 · 다음 30일

백분위수: 78.7%
모델 날짜: 2026. 9. 21.

EPSS는 통계적 추정치이지 확실성이나 영향의 척도가 아닙니다. 이를 CVSS, KEV 상태, 노출 및 환경과 결합하세요.

악용된 것으로 알려진 CISA

이 CVE는 CISA 알려진 악용 취약점 카탈로그에 나타납니다.

요약

Kestra는 오픈소스 이벤트 기반 오케스트레이션 플랫폼입니다. 1.0.45 및 1.3.21 이전 버전에서 Kestra OSS의 AuthenticationFilter는 request.getPath().endsWith("/configs")를 사용하여 공개 구성 엔드포인트를 Basic Auth에서 화이트리스트로 제외합니다. 이 검사는 정확한 경로 일치가 아닌 접미사 일치이므로 마지막 세그먼트가 configs인 모든 API 경로는 인증을 완전히 우회합니다. 인증되지 않은 원격 공격자는 이를 악용하여 자격 증명 없이 임의의 워크플로를 생성 및 실행할 수 있습니다. Kestra는 스크립트 실행 플러그인(plugin-script-shell, plugin-script-python 등)이 기본적으로 활성화된 상태로 제공되므로, 이는 Kestra worker 컨테이너 내부에서 root 권한으로 인증되지 않은 원격 코드 실행으로 직접 이어집니다. 이 취약점은 1.0.45 및 1.3.21에서 수정되었습니다.

소스

CVE-2026-49869스캐너
Kestra 인증 우회 취약점 점검기

책임 있는 사용

귀하가 소유하고 있거나 테스트할 권한이 있는 시스템에 대해서만 취약점 정보를 사용하십시오. Kitploit은 공개 연구 메타데이터에 연결되며 익스플로잇 코드나 악성 페이로드를 저장하지 않습니다.