NGINX Ingress Controller 漏洞

此漏洞的潜在影响非常严重。攻击者可以利用 rewrite-target 注解验证缺陷，操纵请求的路由，从而可能绕过安全控制，访问敏感数据或执行恶意代码。攻击者可能能够利用此漏洞执行远程代码，从而完全控制受影响的集群。由于 NGINX Ingress Controller 通常用于暴露应用程序服务，因此此漏洞可能导致广泛的数据泄露和系统破坏。攻击者可以利用此漏洞进行横向移动，攻击集群中的其他服务。

Organizations heavily reliant on NGINX Ingress Controller for managing external access to their Kubernetes clusters are at risk. This includes those deploying complex applications with multiple backend services and those who allow users to create or modify Ingress resources without proper validation.

• kubernetes / ingress:

kubectl get ingress --all-namespaces -o yaml | grep -i rewrite-target

• kubernetes / audit: Review Kubernetes audit logs for suspicious modifications to Ingress resources, particularly those involving the nginx.org/rewrite-target annotation. • generic web: Inspect NGINX access logs for unusual request patterns or redirects that might indicate exploitation.

1. 2025-12-17Disclosure

   disclosure

1. 已保留2025-12-15
2. 发布日期2025-12-17
3. 修改日期2026-02-26
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将 NGINX Ingress Controller 升级至 5.3.1 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制对 Ingress Controller 的访问，实施严格的输入验证，并监控 Ingress Controller 日志以查找可疑活动。可以使用 Web 应用防火墙 (WAF) 规则来阻止包含恶意 rewrite-target 注解的请求。升级后，请验证配置是否正确，并确认漏洞已成功修复。