CVE-2026-27112: Kargo: bypass de autorização nos endpoints de criação de recursos em lote
A CVE-2026-27112 afeta o Akuity Kargo, em que os endpoints de criação de recursos em lote da API gRPC legada e da API REST aceitam payloads YAML com múltiplos documentos que podem injetar certos tipos de recursos em um namespace de Project além da autorização pretendida. As correções do fornecedor estão nas versões 1.7.8, 1.8.11 e 1.9.3, e o registro indica pontuação CVSS 3.1 de 9.9 pela NVD. O registro não indica inclusão no KEV nem exploração confirmada nas fontes consultadas.
Visão geral
O Kargo é uma plataforma para gerenciar e automatizar a promoção de artefatos de software. A CVE-2026-27112 é classificada como CWE-863 (Autorização incorreta) e envolve os endpoints de criação de recursos em lote tanto da API gRPC legada quanto da nova API REST, que aceitam payloads YAML com múltiplos documentos.
Impacto
- O registro descreve um caso em que recursos de tipos específicos podem ser criados no namespace de um Project existente usando as permissões do próprio servidor de API, quando isso não era intencional.
- O vetor no registro é CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H, indicando acesso pela rede, com privilégios baixos exigidos e alto impacto em confidencialidade, integridade e disponibilidade.
- O registro afirma que a falha pode ser usada para elevar privilégios, com possíveis consequências de execução remota de código ou exfiltração de segredos, incluindo credenciais de repositórios de artefatos.
Produtos e versões afetadas
- Akuity Kargo de 1.7.0 até antes de 1.7.8.
- Akuity Kargo de 1.8.0 até antes de 1.8.11.
- Akuity Kargo de 1.9.0 até antes de 1.9.3.
As versões corrigidas citadas no registro são v1.7.8, v1.8.11 e v1.9.3. O commit de correção está na referência de commit no GitHub.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro. Os dados SSVC do registro indicam exploração como none. Nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas.
Correção e mitigação
- Atualize o Kargo para 1.7.8, 1.8.11 ou 1.9.3, conforme a linha de release em uso, conforme descrito no aviso do fornecedor.
- Até que a aplicação da correção seja concluída, revise quem possui permissões para criar recursos pelas APIs do Kargo e restrinja essas permissões ao mínimo necessário.
- Revise as permissões concedidas ao servidor de API no cluster Kubernetes que hospeda o plano de controle do Kargo e rotacione credenciais de repositórios de artefatos caso haja suspeita de exposição.
Orientações de detecção
- Audite a atividade da API do Kargo em busca de requisições de criação em lote com YAML de múltiplos documentos, especialmente as que criam tipos de recursos em namespaces de Project.
- Monitore a criação inesperada de recursos em namespaces de Project e alterações inesperadas de permissões em contas de serviço do Kargo.
- Revise os logs de acesso da API gRPC legada e da API REST em torno de qualquer atividade suspeita.
Limitações das informações disponíveis
O registro não descreve a estrutura exata dos payloads, os tipos específicos de recursos afetados nem assinaturas de detecção. As configurações de clusters Kubernetes que tornariam possível a escalada via kubectl não são especificadas. O registro não traz dados de exploração ativa além da ausência de inclusão no KEV e do valor SSVC.
Perguntas frequentes
A CVE-2026-27112 está sendo explorada ativamente?
O registro não a lista no KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. O valor de exploração SSVC é none.
Quais versões do Kargo estão corrigidas?
Segundo o registro, as versões corrigidas são v1.7.8, v1.8.11 e v1.9.3, e as faixas afetadas começam em 1.7.0, 1.8.0 e 1.9.0, respectivamente.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.