Kestra: SQL इंजेक्शन (SQL Injection) के माध्यम से रिमोट कोड एग्जीक्यूशन (Remote Code Execution)

केस्ट्रा, एक ओपन-सोर्स, इवेंट-ड्रिवन ऑर्केस्ट्रेशन प्लेटफॉर्म, डिफ़ॉल्ट डॉकर कंपोज़ डिप्लॉयमेंट (1.3.7 से पहले के संस्करण) में एक SQL इंजेक्शन भेद्यता रखता है। यह महत्वपूर्ण खामी /api/v1/main/flows/search एंडपॉइंट के माध्यम से रिमोट कोड एग्जीक्यूशन (RCE) की अनुमति देती है। एक बार जब कोई उपयोगकर्ता प्रमाणित हो जाता है, तो एक तैयार लिंक को देखने के लिए पर्याप्त है जो भेद्यता को ट्रिगर करता है। इंजेक्ट किया गया पेलोड COPY ... TO PROGRAM ... का उपयोग करके पोस्टग्रेएसक्यूएल में निष्पादित किया जाता है, जिसके परिणामस्वरूप होस्ट पर मनमाना ओएस कमांड निष्पादित होते हैं। CVSS गंभीरता स्कोर 9.9 है, जो एक बेहद उच्च जोखिम का संकेत देता है। इसकी आसान शोषण क्षमता और सिस्टम के पूर्ण समझौता होने की क्षमता के कारण यह भेद्यता विशेष रूप से चिंताजनक है।

Organizations utilizing Kestra orchestration platform in their default docker-compose deployments are at significant risk. This includes development and testing environments, as well as production systems where authentication is in place. Shared hosting environments using Kestra are particularly vulnerable due to the ease of exploitation.

• linux / server:

journalctl -u kestra -g "SQL Injection" | grep -i error

• generic web:

curl -I 'http://<kestra_host>/api/v1/main/flows/search?q=<crafted_payload>' | grep 'HTTP/1.1 500' # Check for server errors indicating injection

1. 2026-04-03Disclosure

   disclosure

1. आरक्षित2026-03-30
2. प्रकाशित2026-04-03
3. संशोधित2026-04-07
4. EPSS अद्यतन2026-04-11

इस भेद्यता को कम करने का समाधान केस्ट्रा को संस्करण 1.3.7 या उच्चतर में अपग्रेड करना है। इस संस्करण में एक फिक्स शामिल है जो /api/v1/main/flows/search एंडपॉइंट में SQL इंजेक्शन को संबोधित करता है। इसके अतिरिक्त, अपने केस्ट्रा डिप्लॉयमेंट के सुरक्षा कॉन्फ़िगरेशन की समीक्षा करें, जिसमें मजबूत पासवर्ड नीतियों को लागू करना और पोस्टग्रेएसक्यूएल डेटाबेस तक पहुंच को सीमित करना शामिल है। केस्ट्रा लॉग की निगरानी संदिग्ध गतिविधि के लिए भी संभावित शोषण प्रयासों का पता लगाने और प्रतिक्रिया देने में मदद कर सकती है। यदि तत्काल अपग्रेड संभव नहीं है, तो कमजोर एंडपॉइंट को लक्षित करने वाले दुर्भावनापूर्ण ट्रैफ़िक को फ़िल्टर करने के लिए वेब एप्लिकेशन फ़ायरवॉल (WAF) को लागू करने पर विचार करें।