CVE-2026-53576: Kestra: bypass de autenticação na API REST leva a execução de código no contêiner

Visão geral

O Kestra é uma plataforma de orquestração de código aberto e orientada a eventos. As versões anteriores a 1.0.45 e 1.3.21 contêm uma falha no filtro de autenticação da API REST que permite que certas requisições ignorem a verificação de credenciais. O registro classifica a fraqueza como injeção de código (CWE-94).

Impacto

O registro classifica a falha como crítica, com pontuação base CVSS 3.1 de 10.0 e vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Segundo o registro, um chamador não autenticado pode criar um flow com uma tarefa Shell ou Process e executá-lo, e a tarefa roda como root dentro do contêiner do Kestra. Como o docker-compose.yml oficial monta o socket do Docker, o registro observa que o root no contêiner pode alcançar o daemon Docker do host.

Produtos e versões afetados

• Produto: Kestra (fornecedor listado como Kestra Kestra).
• Faixas afetadas no registro: versões abaixo de 1.0.45 e versões a partir de 1.1.0 até antes de 1.3.21.
• Versões corrigidas informadas no registro: 1.0.45 e 1.3.21.
• O registro não descreve outras variantes de implantação nem ramos corrigidos adicionais.

Status de exploração

Os dados do KEV no registro indicam que esta CVE não consta no catálogo Known Exploited Vulnerabilities da CISA. Nenhuma exploração ativa confirmada aparece nas fontes consultadas. Uma referência está marcada como 'Exploit' no registro, mas essa marcação, isoladamente, não comprova que ataques tenham ocorrido.

Correção e mitigação

• Atualize o Kestra para 1.0.45 ou 1.3.21, conforme a linha de versão da sua implantação, como indicado no aviso.
• A única versão corrigida listada para a faixa de 1.1.0 até antes de 1.3.21 é 1.3.21, então use-a como alvo para implantações nessa faixa.
• Até a atualização, restrinja o acesso de rede à API do Kestra a redes confiáveis e apenas por proxies reversos controlados.
• Avalie se a montagem do socket do Docker na implantação é necessária. Remover acessos desnecessários ao host reduz o impacto de um comprometimento do contêiner.

Orientações de detecção

• Revise os logs da API e do proxy reverso em busca de requisições não autenticadas aos endpoints de criação e execução de flows.
• Procure flows recém-criados que incluam tarefas Shell ou Process, especialmente vinculados a identidades anônimas ou desconhecidas.
• Monitore o contêiner do Kestra em busca de processos inesperados e de atividade da API do Docker originada nele.

Limitações das informações disponíveis

O registro não inclui detalhes técnicos completos do fornecedor, uma lista de todas as implantações afetadas nem detalhes de correção para cada ramo dentro da faixa afetada. Não há como saber, com os dados disponíveis, se esta vulnerabilidade já foi explorada na natureza. A exposição em um ambiente depende da acessibilidade de rede e de o socket do Docker estar montado.

Perguntas frequentes

Qual é o problema central da CVE-2026-53576?

O filtro de autenticação da API REST do Kestra trata determinados caminhos como públicos, então algumas requisições chegam a rotas protegidas sem verificação de credenciais. O registro associa a falha à injeção de código (CWE-94).

Quais versões estão corrigidas?

O registro informa que a vulnerabilidade está corrigida nas versões 1.0.45 e 1.3.21. As faixas afetadas são abaixo de 1.0.45 e a partir de 1.1.0 até antes de 1.3.21.

Há exploração ativa conhecida?

O registro mostra que a falha não consta no catálogo KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.