Vulnerabilidad en el NGINX Ingress Controller

La vulnerabilidad en la validación de la anotación nginx.org/rewrite-target permite a un atacante controlar el flujo de la aplicación y ejecutar código arbitrario en el clúster de Kubernetes. Un atacante podría explotar esta vulnerabilidad para obtener acceso no autorizado a datos sensibles, modificar la configuración del clúster o incluso tomar el control completo del entorno. El impacto potencial es significativo, especialmente en entornos de producción donde el NGINX Ingress Controller gestiona el tráfico de aplicaciones críticas. La capacidad de ejecutar código arbitrario abre la puerta a una amplia gama de ataques, incluyendo la exfiltración de datos, la denegación de servicio y la instalación de malware.

Organizations heavily reliant on NGINX Ingress Controller for managing external access to their Kubernetes clusters are at risk. This includes those deploying complex applications with multiple backend services and those who allow users to create or modify Ingress resources without proper validation.

• kubernetes / ingress:

kubectl get ingress --all-namespaces -o yaml | grep -i rewrite-target

• kubernetes / audit: Review Kubernetes audit logs for suspicious modifications to Ingress resources, particularly those involving the nginx.org/rewrite-target annotation. • generic web: Inspect NGINX access logs for unusual request patterns or redirects that might indicate exploitation.

1. 2025-12-17Disclosure

   disclosure

1. Reservado2025-12-15
2. Publicada2025-12-17
3. Modificada2026-02-26
4. EPSS actualizado2026-03-23

La solución principal para mitigar esta vulnerabilidad es actualizar el NGINX Ingress Controller a la versión 5.3.1 o superior, donde se ha corregido el problema. Si la actualización inmediata no es posible, se recomienda implementar medidas de mitigación temporales, como restringir el acceso a la anotación nginx.org/rewrite-target solo a usuarios autorizados y validar rigurosamente la entrada del usuario antes de utilizarla en la configuración del Ingress Controller. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes maliciosas que intenten explotar esta vulnerabilidad. Verifique la configuración de la anotación nginx.org/rewrite-target para asegurar que no contenga caracteres inesperados o código malicioso.