A função http() permite consultar serviços internos sem autenticação
A função http() do mecanismo de templates Pebble aceita uma URL definida no fluxo sem validar o destino ou filtrar endereços privados. Na configuração padrão do Kestra open source, um atacante pode importar um fluxo e executá-lo sem autenticação. A requisição sai do servidor do Kestra, permitindo uma falsificação de requisições do lado do servidor (SSRF) para ler respostas de serviços internos ou metadados da nuvem.
Casos de uso afetados
- Você mantém uma instância open source acessível pela rede com a configuração padrão. O acesso às rotas de importação e execução permite que um atacante introduza um fluxo próprio e faça consultas pela função http().
- O servidor do Kestra alcança serviços em endereços privados ou no localhost. Um fluxo malicioso pode consultar esses destinos mesmo quando eles não estão acessíveis diretamente ao atacante.
- Você executa o Kestra em uma instância de nuvem com acesso ao serviço de metadados. Na demonstração do aviso, o destino 169.254.169.254 expõe informações da instância na saída do fluxo e pode expor credenciais quando elas estiverem disponíveis.
Confira na sua instância
Confira a versão carregada pelo processo do Kestra nos logs de inicialização e compare-a com a faixa < 2.0.0. Revise a configuração de autenticação e de acesso às rotas /api/v1/main/flows/import e /api/v1/main/executions/{namespace}/{id}. Consulte os registros de acesso para identificar importações ou execuções sem autenticação. Nos fluxos existentes, procure chamadas http() com destinos privados, localhost ou 169.254.169.254 e confira as saídas das execuções correspondentes. Após atualizar, confirme nos logs que o processo carregou a versão corrigida.
Versões afetadas e correções
| Linha | Afetadas | Corrigidas |
|---|---|---|
| io.kestra:kestra-core | < 2.0.0 | 2.0.0 |
A falha também é identificada como CVE-2026-73247. A versão 2.0.0 contém a correção informada pelo projeto. A disponibilidade dessa versão não confirma que sua instância recebeu a atualização.
