Kubernetes - CVE-2026-4342
Date de publication :
Il s'agit d'une vulnérabilité dans ingress-nginx.
ingress-nginx est un contrôleur d’entrée pour Kubernetes basé sur NGINX. Il sert de reverse proxy et de répartiteur de charge pour publier des services et applications HTTP ou HTTPS depuis un cluster Kubernetes.
Une combinaison d’annotations Ingress peut être utilisée pour injecter de la configuration dans NGINX. L’injection passe par le traitement des objets Ingress et des données suspectes dans le champ rules.http.paths.path peuvent révéler une tentative d’exploitation. Le code malveillant s’exécute alors dans le contexte du contrôleur ingress-nginx. Dans l’installation par défaut, ce contrôleur peut accéder aux Secrets de tout le cluster.
Elle permet une exécution de code arbitraire à distance dans le contrôleur et une divulgation de Secrets accessibles par celui-ci.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Exécution de code arbitraire (à distance)
Exploitation
CWE-20 : Improper Input Validation
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
• ingress-nginx versions antérieures à v1.13.9
• ingress-nginx versions v1.14.0 jusqu'à v1.14.4
• ingress-nginx versions v1.15.0
Le projet ingress-nginx est en fin de vie en mars 2026. Après cette date, il n’y aura plus de nouvelles versions, plus de corrections de bugs et plus de correctifs de sécurité.
Solutions ou recommandations
• ingress-nginx versions v1.14.5 et supérieures
• ingress-nginx versions v1.15.1 et supérieures