Kerngegevens
- Leverancier
- Kestra
- Product
- Kestra OSS
- Soort software
- –
- Getroffen versies
- Kestra OSS ouder dan 1.0.45, en 1.1.0 tot 1.3.21
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Kestra OSS 1.0.45
- Kestra OSS 1.3.21
- CVE gepubliceerd
- 26 juni 2026
- Op de KEV-lijst sinds
- 2 september 2026
- Gepubliceerd op LekkenRadar
- 25 oktober 2026
- Laatst gewijzigd bij NVD
- 25 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
Kestra is een open-source platform om geautomatiseerde taken (workflows) te beheren. In de versies vóór 1.0.45 en 1.3.21 controleert de inlogbeveiliging het pad van een verzoek te soepel. Daardoor kan een aanvaller zonder inloggen workflows aanmaken en laten draaien. Omdat de scriptplug-ins standaard aan staan, kan de aanvaller zo op afstand opdrachten uitvoeren als root in de worker-container. Het lek staat sinds september 2026 op de lijst van actief misbruikte lekken.
Wie loopt risico?
Je loopt risico als je Kestra OSS gebruikt in een versie lager dan 1.0.45, of in een versie vanaf 1.1.0 tot 1.3.21. Het risico is het grootst als de Kestra-API bereikbaar is via internet of een netwerk waarin je niet iedereen vertrouwt. Een aanvaller heeft geen account of hulp van een gebruiker nodig. Er is ook een publiek beschikbare exploit.
Wat moet je doen?
Werk Kestra bij
Update naar versie 1.0.45 of, als je de nieuwere reeks gebruikt, naar 1.3.21. In beide versies is het lek opgelost.
Controleer welke versie je draait
Ga na of je Kestra OSS gebruikt en welke versie dat is. Let ook op testomgevingen en omgevingen die weinig in de gaten worden gehouden.
Beperk de bereikbaarheid
Zorg dat de Kestra-API niet rechtstreeks vanaf internet bereikbaar is. Laat alleen vertrouwde netwerken of gebruikers erbij, bijvoorbeeld via een vpn of firewallregels.
Zoek naar sporen van misbruik
Kijk of er workflows of uitvoeringen zijn die je niet herkent, vooral als de API openstond. Controleer ook de worker-container op onverwachte activiteit.
Volg het advies van de leverancier
Lees het beveiligingsadvies van Kestra voor aanvullende maatregelen en actuele informatie.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De klasse AuthenticationFilter in Kestra OSS gebruikt request.getPath().endsWith("/configs") om het publieke configuratie-eindpunt uit te zonderen van Basic Auth. Dit is een controle op het einde van het pad en geen exacte vergelijking. Elk API-pad waarvan het laatste segment configs is, valt daardoor buiten de authenticatie. Een niet-geauthenticeerde aanvaller kan via zulke paden workflows aanmaken en starten. Omdat de scriptplug-ins (zoals plugin-script-shell en plugin-script-python) standaard zijn ingeschakeld, leidt dit tot uitvoering van willekeurige opdrachten als root in de worker-container. De CVSS-vector (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) geeft aan dat misbruik via het netwerk kan, zonder rechten en zonder gebruikersinteractie.
CVSS-vector (versie 3.1, basisscore 10,0, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-78 · Onjuiste neutralisatie van speciale elementen in een OS-commando (OS-commando-injectie)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 2,1%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 2 september 2026
- Deadline van CISA
- 5 september 2026
- Gebruikt door ransomwaregroepen
- Niet bekend