Trusted Design

CVE-2026-49869 の詳細

CVEの情報

説明:
Kestra is an open-source, event-driven orchestration platform. Prior to 1.0.45 and 1.3.21, AuthenticationFilter in Kestra OSS uses request.getPath().endsWith("/configs") to whitelist the public configuration endpoint from Basic Auth. Because the check is a suffix match rather than an exact path match, any API path whose last segment is configs bypasses authentication entirely. An unauthenticated remote attacker can exploit this to create and execute arbitrary workflows without credentials. Because Kestra ships with script execution plugins (plugin-script-shell, plugin-script-python, etc.) enabled by default, this directly results in unauthenticated Remote Code Execution as root inside the Kestra worker container. This vulnerability is fixed in 1.0.45 and 1.3.21.

CVE更新日: 2026-06-26 22:16:32.113000

CVSSバージョン: 3.1

CVSSスコア: 10.0

KEVの情報

KEV更新日: 2026-09-02

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.020950000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2026-49869に関する調査結果を以下の観点で解説します。

1. 脆弱性の概要

CVE-2026-49869は、オープンソースのイベント駆動型オーケストレーションプラットフォームであるKestra OSSに存在する、認証不要のリモートコード実行（RCE）の脆弱性です。この脆弱性は、認証バイパスによって引き起こされます。

Kestra OSSのAuthenticationFilterが、公開設定エンドポイントをBasic認証からホワイトリストに登録する際にrequest.getPath().endsWith("/configs")を使用していることが原因です。このチェックが厳密なパス一致ではなくサフィックス一致であるため、末尾が「/configs」であるAPIパスは認証を完全にバイパスしてしまいます。

攻撃者はこの欠陥を悪用し、認証なしで任意のワークフローを作成および実行できます。Kestraにはデフォルトでスクリプト実行プラグイン（plugin-script-shell、plugin-script-pythonなど）が付属しているため、これによりKestraワーカーコンテナ内でroot権限での認証不要のリモートコード実行が直接可能となります。

1.1 影響

  • 認証されていないリモート攻撃者が、資格情報なしで任意のワークフローを作成および実行できるようになります。
  • Kestraワーカーコンテナ内でroot権限での認証不要のリモートコード実行（RCE）が直接可能となり、システムが完全に侵害される可能性があります。
  • 攻撃により、リバースシェルの確立、Dockerコンテナ環境の発見、防御回避、仮想通貨マイナーの展開、データ収集などが確認されています。

1.2 深刻度

  • CVSSv3スコアは10.0で、最も高い「Critical（緊急）」と評価されています。
  • EPSS（Exploit Prediction Scoring System）スコアは執筆時点で約1.9%から2.1%と低いものの、CISAのKEV（Known Exploited Vulnerabilities：既知の悪用された脆弱性）カタログに掲載されており、実際のサイバー攻撃での悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Kestra OSSの脆弱性であり、Kestraが動作する基盤のOSバージョンに特化した情報はありません。Kestraのワーカーコンテナ内でroot権限でのRCEが可能であると説明されています。

2.2 影響を受ける設定

  • Kestra OSSのバージョン1.0.45および1.3.21より前のリリースが影響を受けます。
  • AuthenticationFilterがrequest.getPath().endsWith("/configs")を使用して公開設定エンドポイントをホワイトリストに登録しているKestra OSSのインスタンスが影響を受けます。
  • デフォルトでスクリプト実行プラグイン（plugin-script-shell、plugin-script-pythonなど）が有効になっている場合、RCEの深刻度が高まります。

3. 影響を受けた時の兆候

  • Kestraインスタンス上で、身に覚えのないワークフローが作成されたり、実行されたりする。
  • Kestraコンテナからの予期せぬ外部へのネットワーク接続（例: コマンド＆コントロールサーバーへの通信、仮想通貨マイナーへの接続）。
  • コンテナやホストシステム上で不審なプロセス（例: マイナー、リバースシェル）が稼働している。
  • Kestraのログに認証バイパスや不審なAPIアクセスを示すエントリ。

4. 推奨対策

4.1 本対策

  • Kestra OSSのアップデート: 脆弱性が修正されたバージョン1.0.45以降（1.0.xラインの場合）または1.3.21以降（1.3.xラインの場合）にアップグレードしてください。
  • CISAのKEVデータベースに登録されており、迅速なパッチ適用が求められます。

4.2 暫定回避策（緩和策）

  • Kestraインスタンスの隔離: 直ちにパッチを適用できない場合、Kestraインスタンスへのネットワークアクセスを制限し、外部からの攻撃経路を最小限に抑えることを検討してください。
  • 認証の強化と監視: 認証バイパスの脆弱性ですが、一般的にAPIへの不必要なアクセスを制限し、不審なアクセスパターンがないかKestra APIのログを厳重に監視してください。
  • スクリプト実行プラグインの無効化（推奨されない場合あり）: RCEのリスクを軽減するために、Kestraのスクリプト実行プラグインがビジネス要件上不要な場合は無効にすることを検討できます。ただし、本脆弱性は任意のワークフロー作成を可能にするため、根本的な解決にはなりません。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る