Vulnérabilité de NGINX Ingress Controller

L'exploitation réussie de cette vulnérabilité pourrait permettre à un attaquant de compromettre le cluster Kubernetes hébergeant NGINX Ingress Controller. L'attaquant pourrait potentiellement injecter du code malveillant via l'annotation rewrite-target, qui serait ensuite exécuté par le contrôleur. Cela pourrait conduire à un contrôle total du cluster, à la vol de données sensibles, ou à l'interruption de service. Bien que des exemples d'exploitation directe ne soient pas encore largement documentés, la capacité d'exécuter du code arbitraire représente un risque significatif, similaire à d'autres vulnérabilités d'injection de code dans des contrôleurs d'entrée.

Organizations heavily reliant on NGINX Ingress Controller for managing external access to their Kubernetes clusters are at risk. This includes those deploying complex applications with multiple backend services and those who allow users to create or modify Ingress resources without proper validation.

• kubernetes / ingress:

kubectl get ingress --all-namespaces -o yaml | grep -i rewrite-target

• kubernetes / audit: Review Kubernetes audit logs for suspicious modifications to Ingress resources, particularly those involving the nginx.org/rewrite-target annotation. • generic web: Inspect NGINX access logs for unusual request patterns or redirects that might indicate exploitation.

1. 2025-12-17Disclosure

   disclosure

1. Réservé2025-12-15
2. Publiée2025-12-17
3. Modifiée2026-02-26
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à niveau NGINX Ingress Controller vers la version 5.3.1 ou supérieure, qui corrige cette vulnérabilité. Si la mise à niveau n'est pas immédiatement possible, envisagez de désactiver temporairement l'utilisation de l'annotation nginx.org/rewrite-target dans vos configurations d'Ingress. Une autre approche consiste à implémenter des règles de pare-feu ou de WAF (Web Application Firewall) pour bloquer les requêtes contenant des valeurs malveillantes dans l'annotation. Après la mise à niveau, vérifiez la configuration de l'Ingress Controller pour vous assurer que l'annotation rewrite-target est correctement validée et qu'aucune configuration non sécurisée n'est présente.