CVE-2026-53576

요약

Kestra는 오픈소스 이벤트 기반 오케스트레이션 플랫폼입니다. 1.0.45 및 1.3.21 이전 버전에서 REST API에 대한 인증 필터(@Filter("/api/v1/**"))는 경로가 /configs로 끝나는 모든 요청을 공개 인스턴스 구성 엔드포인트로 취급하고 자격 증명 확인 없이 전달합니다. kestra는 호출자가 선택한 URL 경로 세그먼트(/api/v1/{tenant}/flows/{namespace}, /api/v1/{tenant}/executions/{namespace}/{id}, /api/v1/{tenant}/namespaces/{namespace}/kv/{key})로 리소스를 지정합니다. 익명 호출자가 마지막 세그먼트로 리터럴 configs를 선택하면 요청이 Basic-Auth를 완전히 우회합니다. 이 우회로가 플로우 생성 및 실행 트리거 라우트에 도달하므로, 인증되지 않은 호출자가 Shell 또는 Process 작업을 포함하는 플로우를 생성하고 실행할 수 있습니다. 이 작업은 kestra 컨테이너 내부에서 root로 실행됩니다. 공식 docker-compose.yml은 /var/run/docker.sock을 마운트하므로, 컨테이너 내부의 root가 호스트 Docker 데몬에 도달할 수 있습니다. 이 취약점은 1.0.45 및 1.3.21에서 수정되었습니다.

• CVE-2026-53576익스플로잇

  Kestra 인증되지 않은 RCE 익스플로잇 (CVE-2026-53576)

• CVE-2026-49869스캐너

  Kestra 인증 우회 취약점 점검기