Kestra 오케스트레이션 플랫폼 인증 우회 및 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-49869)

1. 공식 패치 적용

가장 확실한 해결책은 취약점이 해결된 최신 버전으로 업그레이드하는 것입니다.

• Kestra 1.0.x 사용자: 1.0.45 이상으로 업그레이드
• Kestra 1.3.x 사용자: 1.3.21 이상으로 업그레이드

Docker Compose를 사용하는 경우, docker-compose.yml 파일의 이미지 태그를 수정하고 컨테이너를 재시작하십시오.

services:
  kestra:
    image: kestra/kestra:v1.3.21 # 또는 v1.0.45

2. 임시 완화 조치 (패치 적용 전)

즉각적인 업그레이드가 어려운 경우, 리버스 프록시(Nginx, HAProxy) 또는 WAF를 사용하여 외부에서 유입되는 비정상적인 경로 요청을 차단하십시오.

Nginx 차단 규칙 예시:

# 경로 끝이 /configs로 끝나지만 실제 공개 설정 엔드포인트가 아닌 요청 차단
if ($request_uri ~* ".+/configs$") {
    return 403;
}

Kestra 오픈소스 플랫폼의 AuthenticationFilter 구현부에서 인증이 필요 없는 공개 엔드포인트를 식별할 때, 정확한 경로 매칭이 아닌 접미사 매칭 방식(request.getPath().endsWith("/configs"))을 사용하는 결함이 존재합니다. 이로 인해 공격자가 API 요청 경로의 마지막 세그먼트를 /configs로 구성할 경우 인증 필터가 완전히 우회됩니다.

인증을 우회한 공격자는 임의의 워크플로우를 생성하고 실행할 수 있는 권한을 획득하게 됩니다. Kestra는 기본적으로 스크립트 실행 플러그인(plugin-script-shell, plugin-script-python 등)이 활성화된 상태로 제공되므로, 공격자는 이를 악용하여 Kestra 워커(Worker) 컨테이너 내부에서 root 권한으로 임의의 OS 명령어를 실행(RCE)할 수 있습니다. 이 취약점은 CVSS 10.0의 최고 위험도를 가지며, 실제 공격에 악용되고 있는 것으로 확인되어 CISA KEV에 등재되었습니다.