BDU:2026-01287

Опубликовано: 02 фев. 2026

Источник: fstec

CVSS3: 8.8

CVSS2: 9

EPSS Низкий

Описание

Уязвимость контроллера входящего трафика в кластере Kubernetes ingress-nginx связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации и выполнить произвольный код в контексте контроллера

Вендор

The Kubernetes Authors

Наименование ПО

ingress-nginx

Версия ПО

до 1.13.7 (ingress-nginx)

до 1.14.3 (ingress-nginx)

Тип ПО

Сетевое средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- ограничение возможности обработки объектов Ingress, содержащих значение «ImplementationSpecific» поля pathType;

- использование средств межсетевого экранирования для ограничения возможности удалённого доступа к уязвимому программному обеспечению;

- использование «белого» списка IP-адресов для ограничения доступа к уязвимому программному обеспечению;

- использование SIEM-систем для отслеживания попыток эксплуатации уязвимости;

- отключение/удаление неиспользуемых учётных записей пользователей;

- минимизация пользовательских привилегий;

- ограничение доступа к платформе из внешних сетей (Интернет).

Использование рекомендаций:

https://github.com/kubernetes/kubernetes/issues/136678

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://github.com/kubernetes/kubernetes/issues/136678

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2026-24512
CVE

EPSS

Процентиль: 27%

0.00095

Низкий

8.8 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVE-2026-24512

CVSS3: 8.8

nvd

5 дней назад

A security issue was discovered in ingress-nginx cthe `rules.http.paths.path` Ingress field can be used to inject configuration into nginx. This can lead to arbitrary code execution in the context of the ingress-nginx controller, and disclosure of Secrets accessible to the controller. (Note that in the default installation, the controller can access all Secrets cluster-wide.)

GHSA-jx8c-56mg-h6vp

CVSS3: 8.8

github

5 дней назад

ingress-nginx's `rules.http.paths.path` Ingress field can be used to inject configuration into nginx

EPSS

Процентиль: 27%

0.00095

Низкий

8.8 High

CVSS3

9 Critical

CVSS2