Vulnerabilidade no NGINX Ingress Controller

A exploração bem-sucedida desta vulnerabilidade permite que um atacante manipule as regras de reescrita do NGINX Ingress Controller. Isso pode resultar na execução de código arbitrário no nó Kubernetes onde o Ingress Controller está em execução. O impacto potencial é significativo, incluindo a capacidade de roubar dados confidenciais, comprometer a infraestrutura subjacente e realizar ataques de negação de serviço (DoS). A anotação rewrite-target é usada para definir o destino das requisições reescritas, e a falta de validação adequada permite que um atacante injete comandos maliciosos que serão executados pelo NGINX.

Organizations heavily reliant on NGINX Ingress Controller for managing external access to their Kubernetes clusters are at risk. This includes those deploying complex applications with multiple backend services and those who allow users to create or modify Ingress resources without proper validation.

• kubernetes / ingress:

kubectl get ingress --all-namespaces -o yaml | grep -i rewrite-target

• kubernetes / audit: Review Kubernetes audit logs for suspicious modifications to Ingress resources, particularly those involving the nginx.org/rewrite-target annotation. • generic web: Inspect NGINX access logs for unusual request patterns or redirects that might indicate exploitation.

1. 2025-12-17Disclosure

   disclosure

1. Reservado2025-12-15
2. Publicada2025-12-17
3. Modificada2026-02-26
4. EPSS atualizado2026-03-23

A mitigação primária para esta vulnerabilidade é atualizar o NGINX Ingress Controller para a versão 5.3.1 ou superior, que inclui a correção. Se a atualização imediata não for possível, considere implementar regras de firewall para restringir o acesso ao NGINX Ingress Controller apenas a fontes confiáveis. Além disso, revise e valide cuidadosamente todas as anotações rewrite-target para garantir que não contenham comandos maliciosos. Monitore os logs do NGINX Ingress Controller em busca de atividades suspeitas, como requisições com anotações rewrite-target inesperadas. Após a atualização, confirme a correção verificando a versão do NGINX Ingress Controller e testando as regras de reescrita.