CVE-2026-34612
— 神龙十问 AI 深度分析摘要
CVSS 10.0 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
**本质**：Kestra 编排平台的 **SQL 注入漏洞** 💉
**后果**：
- 🚨 远程代码执行（RCE）
- 🚨 直接控制宿主机操作系统
- 🚨 完整服务器接管
Q2根本原因？（CWE/缺陷点）
**CWE-89**：SQL 注入
**缺陷点**：
- 🔍 `GET /api/v1/main/flows/search` 端点
- 🔍 用户输入未过滤直接拼入 SQL
- 🔍 PostgreSQL `COPY ... TO PROGRAM ...` 被滥用执行系统命令
Q3影响谁？（版本/组件）
**受影响版本**：< 1.3.7 ⚠️
**组件**：
- 🎯 Kestra 核心平台
- 🎯 默认 docker-compose 部署配置
- 🎯 配套 PostgreSQL 数据库
Q4黑客能干啥？（权限/数据）
**黑客权限**：🔥 **SYSTEM 级**
**能干的事**：
- 💀 执行任意 OS 命令
- 💀 窃取全部数据
- 💀 横向移动/植入后门
- 💀 删除/加密勒索
Q5利用门槛高吗？（认证/配置）
**门槛：低** ✅
**条件**：
- 🔑 需要 **身份认证**（普通用户即可）
- 🔑 仅需访问一个 **构造好的链接**
- 🔑 无需交互、无需管理员权限
- 🔑 网络可达即可利用
Q6有现成Exp吗？（PoC/在野利用）
**PoC**：❌ 未公开（`"pocs": []`）
**在野利用**：未知 ⚠️
**但注意**：
- 💡 漏洞原理清晰（SQLi → RCE）
- 💡 利用链简单，攻击者易自行构造
Q7怎么自查？（特征/扫描）
**自查方法**：
- 🔍 **版本检查**：`kestra --version` 或 UI 查看
- 🔍 **流量特征**：监控 `/api/v1/main/flows/search` 的异常参数
- 🔍 **日志审计**：PostgreSQL 日志中查找 `COPY ... TO PROGRAM`
- 🔍 **漏洞扫描**：关注 1.3.7 以下版本的 SQLi 检测
Q8官方修了吗？（补丁/缓解）
**已修复** ✅
**补丁**：
- 🛡️ 版本 **1.3.7** 已发布
- 🛡️ Commit: `3926762795df8ad3e03924b370c51832ed3a21d3`
- 🛡️ 官方安全公告：GHSA-365w-2m69-mp9x
**立即升级** ⬆️
Q9没补丁咋办？（临时规避）
**临时规避**（无法升级时）：
- 🚫 **WAF 规则**：拦截 `COPY.*TO.*PROGRAM` 模式
- 🚫 **网络隔离**：限制 `/api/v1/main/flows/search` 访问来源
- 🚫 **权限收紧**：禁用非必要用户的数据库命令执行权限
- 🚫 **监控告警**：对异常 SQL 语句实时阻断
Q10急不急？（优先级建议）
**优先级：🔴 CRITICAL（最高）**
**理由**：
- ⚡ CVSS 3.1 评分：**9.9**（接近满分）
- ⚡ 网络可利用 + 低权限要求 + 完全系统控制
- ⚡ 编排平台通常持有云凭证/敏感配置
**行动**：**24小时内升级** ⏰