Kestra CVE-2026-49869 ใน KEV: endsWith /configs เปิดทาง RCE

ถ้าทีมรัน Kestra OSS เป็นตัวจัดคิวงาน วันนี้ไม่ใช่แค่ “อัปเมื่อมีเวลา” ครับ เพราะช่องนี้ติดทั้งคะแนนสูงและรายการที่ถูกใช้จริง

GHSA-5vc5-wxxq-3fjx และ CVE-2026-49869 สรุปว่า AuthenticationFilter ใช้ request.getPath().endsWith("/configs") เพื่อยกเว้น Basic Auth ให้ endpoint คอนฟิกลาธารณะ การเช็กแบบลงท้ายทำให้พาธ API ที่ส่วนท้ายเป็น configs ข้ามการยืนยันตัวตนได้ ผู้โจมตีที่เข้าถึงพอร์ตบริการจึงสร้างและรัน workflow โดยไม่มี credential และด้วยปลั๊กอินสคริปต์ที่เปิดเป็นค่าเริ่ม นำไปสู่ RCE ใน worker container

คะแนน CVSS 3.1 ตามระเบียน CVE คือ 10.0 CISA ใส่ช่องนี้ใน Known Exploited Vulnerabilities (KEV) ช่วงต้นกันยายน 2026 ตามรายการสาธารณะของหน่วยงาน

ใครโดน และอัปอะไร

• กระทบ Kestra OSS ที่ Basic Auth เป็นโหมดเริ่ม และเวอร์ชันก่อนแพตช์: < 1.0.45 และ >= 1.1.0, < 1.3.21
• แก้แล้วที่ 1.0.45 และ 1.3.21
• ไม่จำเป็นต้องเปิดอินเทอร์เน็ตสาธารณะ แค่เข้าถึงเครือข่ายถึงพอร์ตบริการก็เสี่ยงตาม advisory

บทความนี้ไม่อธิบายลำดับคำขอโจมตี ให้ใช้ advisory เป็นตัวตั้งแล้วอัปเวอร์ชันหรือถอดอินสแตนซ์ที่ไม่แพตช์ได้ทัน

Recap

• เช็กเวอร์ชัน Kestra เทียบกับ 1.0.45 / 1.3.21 ทันที
• จำกัดเครือข่ายเข้าพอร์ต UI/API จนกว่าจะอัปเสร็จ
• อ่าน GHSA-5vc5-wxxq-3fjx แล้วบันทึกหลักฐานการอัป
• อย่าทดลอง RCE บนระบบงานจริงเพื่อพิสูจน์