Kestra는 오픈 소스 이벤트 중심 오케스트레이션 플랫폼입니다. 1.0.45 및 1.3.21 이전에는 Kestra OSS의 AuthenticationFilter가 request.getPath().endsWith("/configs")를 사용하여 기본 인증의 공개 구성 엔드포인트를 화이트리스트에 추가했습니다. 검사는 정확한 경로 일치가 아닌 접미사 일치이므로 마지막 세그먼트가 configs인 모든 API 경로는 인증을 완전히 우회합니다. 인증되지 않은 원격 공격자는 이를 악용하여 자격 증명 없이 임의의 워크플로를 생성하고 실행할 수 있습니다. 베코
Kestra는 오픈 소스 이벤트 중심 오케스트레이션 플랫폼입니다. 1.0.45 및 1.3.21 이전에는 Kestra OSS의 AuthenticationFilter가 request.getPath().endsWith("/configs")를 사용하여 기본 인증의 공개 구성 엔드포인트를 화이트리스트에 추가했습니다. 검사는 정확한 경로 일치가 아닌 접미사 일치이므로 마지막 세그먼트가 configs인 모든 API 경로는 인증을 완전히 우회합니다. 인증되지 않은 원격 공격자는 이를 악용하여 자격 증명 없이 임의의 워크플로를 생성하고 실행할 수 있습니다. Kestra는 기본적으로 활성화된 스크립트 실행 플러그인(plugin-script-shell,plugin-script-python 등)과 함께 제공되므로 이로 인해 Kestra 작업자 컨테이너 내부의 루트로 인증되지 않은 원격 코드 실행이 직접 발생합니다. 이 취약점은 1.0.45 및 1.3.21에서 수정되었습니다.
왜 이 VPI인가 (설명가능 · 실험적)
VPI 산정 기준
| 영향도 | 100.00 |
| 악용 신호(PoC 존재) | ×1.20 |
| VPI | 100.00 |
VPI 공식 vpi-v1 기준