Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-78
  • CWE-184
  • CWE-287
  • CWE-918

CVE-2026-49869

Kestra AuthenticationFilter kimlik doğrulama atlatma ve uzaktan kod çalıştırma açığı

kestra-io kestra

Kritik 10,0 CVSS 3.1
Yayımlandı
Güncellendi
25 Eki 2026
Açık yaşı
123 gün
Kaydı açan
GitHub_M
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 2 Eyl 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 5 Eyl 2026.

Yönetici özeti

Kestra'nın kimlik doğrulaması basit bir hileyle aşılabiliyor ve saldırganlar giriş yapmadan sunucuda istedikleri komutları çalıştırabiliyor. Açık şu anda aktif olarak istismar ediliyor, bu nedenle internete açık Kestra kurulumları için acil müdahale gerekiyor. Güncelleme gecikirse veri sızıntısı ve sistemin ele geçirilmesi riski yüksektir.

ÖzetTürkçe

Kestra OSS içindeki AuthenticationFilter, herkese açık yapılandırma uç noktasını Basic Auth'tan muaf tutmak için yol sonunun "/configs" ile bitip bitmediğine bakıyor. Bu kontrol tam eşleşme yerine sonek eşleşmesi yaptığı için son bölümü configs olan herhangi bir API yolu kimlik doğrulamasını atlatabiliyor. Kimliği doğrulanmamış bir saldırgan bu yolla iş akışı oluşturup çalıştırabiliyor. Açık, 1.0.45 ve 1.3.21 öncesi sürümleri etkiliyor ve CISA KEV listesine eklenmiş olup aktif olarak istismar ediliyor.

Saldırgan ne yapabilir?

Uzaktan ve kimlik bilgisi olmadan saldırgan, varsayılan olarak etkin betik eklentileri sayesinde Kestra worker konteyneri içinde root yetkisiyle rastgele kod çalıştırabilir. CVSS 10 puanlı bu açık sistemin tamamen ele geçirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

Kestra is an open-source, event-driven orchestration platform. Prior to 1.0.45 and 1.3.21, AuthenticationFilter in Kestra OSS uses request.getPath().endsWith("/configs") to whitelist the public configuration endpoint from Basic Auth. Because the check is a suffix match rather than an exact path match, any API path whose last segment is configs bypasses authentication entirely. An unauthenticated remote attacker can exploit this to create and execute arbitrary workflows without credentials. Because Kestra ships with script execution plugins (plugin-script-shell, plugin-script-python, etc.) enabled by default, this directly results in unauthenticated Remote Code Execution as root inside the Kestra worker container. This vulnerability is fixed in 1.0.45 and 1.3.21.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Ne yapmalı?

  1. Kestra'yı düzeltilmiş sürüme güncelleyin: 1.0.45 veya 1.3.21 (kullandığınız sürüm hattına uygun olanı). Üretici
  2. CISA yönergesi uyarınca üretici talimatlarına göre azaltım önlemlerini uygulayın; her varlığın internete açıklığını değerlendirin. Azaltım önlemleri mümkün değilse ürünün kullanımını durdurun. CISA
  3. Güncelleme yapılana kadar Kestra arayüzü ve API'sine internetten erişimi güvenlik duvarı veya ters vekil ile kısıtlayın, yalnızca güvenilir ağlara izin verin. Genel öneri
  4. Güncellemeden önce sistemin istismar edilmiş olabileceğini varsayarak yetkisiz oluşturulmuş iş akışlarını, çalıştırma kayıtlarını ve worker konteynerlerindeki şüpheli etkinliği inceleyin. Genel öneri

Ek önlemler

  • Kestra örneklerini doğrudan internete açmayın; VPN veya erişim denetimli bir ağ katmanı arkasında tutun. Genel öneri
  • Kullanılmayan betik çalıştırma eklentilerini devre dışı bırakın ve worker konteynerlerini mümkün olduğunca düşük yetkiyle, root olmadan çalıştırın. Genel öneri
  • Yetkisiz iş akışı oluşturma ve beklenmeyen /configs ile biten API isteklerini günlüklerde izleyin. Genel öneri
  • Olası ele geçirme durumunda Kestra'da kullanılan gizli anahtarları, parolaları ve erişim belirteçlerini yenileyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
kestra-io kestra < 1.0.45 1.0.45

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.