BDU:2026-01287

Опубликовано: 02 фев. 2026

Источник: fstec

CVSS3: 8.8

CVSS2: 9

EPSS Низкий

Описание

Уязвимость контроллера входящего трафика в кластере Kubernetes ingress-nginx связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации и выполнить произвольный код в контексте контроллера

Вендор

ООО «Ред Софт»

The Kubernetes Authors

Наименование ПО

РЕД ОС

ingress-nginx

Версия ПО

8.0 (РЕД ОС)

до 1.13.7 (ingress-nginx)

до 1.14.3 (ingress-nginx)

Тип ПО

Операционная система

Сетевое средство

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 8.0

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- ограничение возможности обработки объектов Ingress, содержащих значение «ImplementationSpecific» поля pathType;

- использование средств межсетевого экранирования для ограничения возможности удалённого доступа к уязвимому программному обеспечению;

- использование «белого» списка IP-адресов для ограничения доступа к уязвимому программному обеспечению;

- использование SIEM-систем для отслеживания попыток эксплуатации уязвимости;

- отключение/удаление неиспользуемых учётных записей пользователей;

- минимизация пользовательских привилегий;

- ограничение доступа к платформе из внешних сетей (Интернет).

Использование рекомендаций:

https://github.com/kubernetes/kubernetes/issues/136678

Для Ред ОС:

https://redos.red-soft.ru/search/?iblock_id=24&q=CVE-2026-24512

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2026-24512
CVE

EPSS

Процентиль: 40%

0.00501

Низкий

8.8 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

ROS-20260311-73-0011

CVSS3: 8.8

redos

5 месяцев назад

Уязвимость golang-k8s-ingress-nginx

CVE-2026-24512

CVSS3: 8.8

nvd

6 месяцев назад

A security issue was discovered in ingress-nginx where the `rules.http.paths.path` Ingress field can be used to inject configuration into nginx. This can lead to arbitrary code execution in the context of the ingress-nginx controller, and disclosure of Secrets accessible to the controller. (Note that in the default installation, the controller can access all Secrets cluster-wide.)

GHSA-jx8c-56mg-h6vp

CVSS3: 8.8

github

6 месяцев назад

ingress-nginx's `rules.http.paths.path` Ingress field can be used to inject configuration into nginx

EPSS

Процентиль: 40%

0.00501

Низкий

8.8 High

CVSS3

9 Critical

CVSS2