Описание
Уязвимость контроллера входящего трафика в кластере Kubernetes ingress-nginx связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код
Вендор
ООО «Ред Софт»
The Kubernetes Authors
Наименование ПО
РЕД ОС
ingress-nginx
Версия ПО
8.0 (РЕД ОС)
до 1.13.9 (ingress-nginx)
до 1.14.5 (ingress-nginx)
до 1.15.1 (ingress-nginx)
Тип ПО
Операционная система
Сетевое средство
Операционные системы и аппаратные платформы
ООО «Ред Софт» РЕД ОС 8.0
Уровень опасности уязвимости
Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,8)
Возможные меры по устранению уязвимости
Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- использование средств межсетевого экранирования для ограничения возможности удалённого доступа к уязвимому программному обеспечению;
- ограничение доступа к уязвимому программному обеспечению, используя схему доступа по «белым спискам»;
- использование SIEM-систем для отслеживания попыток эксплуатации уязвимости;
- отключение/удаление неиспользуемых учётных записей пользователей;
- минимизация пользовательских привилегий;
- ограничение доступа к программному обеспечению из внешних сетей (Интернет).
Использование рекомендаций:
https://github.com/kubernetes/kubernetes/issues/137893
Для Ред ОС:
https://redos.red-soft.ru/search/?iblock_id=24&q=CVE-2026-4342
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Существует в открытом доступе
Информация об устранении
Уязвимость устранена
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 71%
0.01494
Низкий
8.8 High
CVSS3
9 Critical
CVSS2
Связанные уязвимости
CVSS3: 8.8
nvd
5 месяцев назад
A security issue was discovered in ingress-nginx where a combination of Ingress annotations can be used to inject configuration into nginx. This can lead to arbitrary code execution in the context of the ingress-nginx controller, and disclosure of Secrets accessible to the controller. (Note that in the default installation, the controller can access all Secrets cluster-wide.)
CVSS3: 8.8
github
5 месяцев назад
ingress-nginx comment-based nginx configuration injection
EPSS
Процентиль: 71%
0.01494
Низкий
8.8 High
CVSS3
9 Critical
CVSS2