Vulnérabilité dans kas (CVE-2026-47192)
Résumé
Vulnérabilité dans kas (CVE-2026-47192). Risque d'opérations non autorisées ou de divulgation. Exploitable via _source_dir. Atténuation : mise à jour vers 5.3 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
kas is a setup tool for bitbake based projects. Starting in version 4.8 and prior to version 5.3, kas checks out and processes repositories regarding configuration includes prior to validating signatures of those repositories. This may allow to replace on original repository with one under the control of an attacker under very specific conditions. First of all, the attacker must have gained control of a repository that a kas file of the victim is referencing. Furthermore, the following conditions must be fulfilled: the victim's kas configuration must include a configuration file from the attacked repository; the repository state is referenced by tag, and no commit ID is specified (this is triggering a warning, though); the key used for validating the tag or commit signature is stored as file in a repository; no fingerprint for the key is specified; and the _source_dir key must not be set by the victim when calling kas (e.g. by avoiding a local .config.yaml). Given these conditions, the attacker could modify the included kas configuration in way that the key used to validate the tag signature of the attacker's repository could be replaced by an attacker-chosen key. No other exploit possibilities have been identified so far, but this does not rule out that those may exist. All patches have been released along with kas version 5.3. As a workaround, pin the expected signature key via its fingerprint, also when storing it as file in a repository.
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-47192 a été découverte dans kas.
Des attaquants peuvent cibler un point d'entrée spécifique comme _source_dir à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour kas vers 5.3 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « kas CVE-2026-47192 » sur le site de l'éditeur.
CVE-2026-47192 (kas) — CWE-347
Surface d'attaque : _source_dir
Correctif : 5.3 — appliquer immédiatement
Contournement : Pin the expected signature key via its fingerprint, also when storing it as file in a repository.
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-347) affecte kas. Les attaquants atteignent le code vulnérable via _source_dir.
Consultez l'avis de l'éditeur pour les versions affectées de kas. Surface d'attaque : _source_dir.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 5.3.
Contournement : Pin the expected signature key via its fingerprint, also when storing it as file in a repository.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'kas' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
kasを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply temporary workaround mitigate
Pin the expected signature key via its fingerprint, also when storing it as file in a repository.パッチが適用されるまでの応急処置として、Pin the expected signature key via its fingerprint, also when storing it as file in a repository. を実施。回避策の副作用 (機能低下) を確認した上で。
-
3Apply patch patch
Upgrade kas to 5.3ステージング環境で 5.3 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
4Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
État des correctifs par distribution
Paquets corrigés publiés par chaque distribution pour cette CVE
- Debian DEBIAN-CVE-2026-47192 kas
- Ubuntu UBUNTU-CVE-2026-47192 kas
Références
- advisory github.com
- advisory github.com
- advisory github.com
- advisory github.com
- advisory nvd.nist.gov
- package github.com
- patch github.com
- patch github.com
- web github.com