Exécution de code à distance affectant Ingress-Nginx
Une vulnérabilité affectant Ingress-Nginx permettrait à un attaquant authentifié d'exécuter du code arbitraire et d'accéder à des informations sensibles sur les systèmes affectés.
Description
Contexte technique et détails de la vulnérabilité
Ingress-Nginx est un contrôleur d'entrée (ingress controller) pour Kubernetes utilisant Nginx comme proxy inverse et répartiteur de charge. Cette solution est affectée par une vulnérabilité libellée CVE-2026-4342, résultant d'une validation insuffisante des annotations Ingress, qui permet d'injecter des configurations malveillantes dans Nginx. Son exploitation permettrait à un attaquant authentifié de manipuler la configuration du contrôleur pour exécuter du code arbitraire et compromettre les secrets stockés dans le cluster. Elle est classée haute avec un score de sévérité de 8.8 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code arbitraire à distance ;
- Atteinte à l'intégrité du système ;
- Atteinte à la confidentialité des données.
Systèmes affectés
Produits, composants et versions concernés
- Versions d'Ingress-Nginx antérieures aux versions 1.13.9, 1.14.5 et 1.15.1.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour Ingress-Nginx vers sa dernière version stable et planifier la migration vers l'API Gateway de Kubernetes, désormais la solution recommandée, la maintenance officielle d'Ingress-Nginx ayant pris fin.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.