Origine : bjCSIRT
Numéro : 2026/ALERTE/020
APERÇU :
Une vulnérabilité affectant Ingress-Nginx permettrait à un acteur malveillant authentifié d’exécuter du code arbitraire et d’accéder à des informations sensibles sur les systèmes affectés.
DESCRIPTION
Ingress-Nginx est un contrôleur d’entrée pour Kubernetes utilisant Nginx comme serveur mandataire inverse et équilibreur de charge.
Cette solution est affectée par une vulnérabilité libellée CVE-2026-4342 résultant d’une validation insuffisante des annotations Ingress, permettant l’injection de configurations malveillantes dans Nginx. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant authentifié de manipuler la configuration du contrôleur pour exécuter du code arbitraire et compromettre des secrets stockés au sein du cluster.
Elle est classée élevée avec un score de sévérité de 8.8 selon le CVSS V3.1.
IMPACT
- Exécution de code arbitraire à distance;
- Compromission de l’intégrité du système ;
- Atteinte à la confidentialité des données.
SYSTÈMES AFFECTÉS :
Les versions de Ingress-Nginx antérieures aux versions 1.13.9, 1.14.5, 1.15.1.
MESURES À PRENDRE :
Mettre à jour Ingress-Nginx vers sa dernière version stable tout en planifiant la transition vers la Gateway API de Kubernetes, cette dernière étant désormais la solution préconisée face à l’arrêt de la maintenance officielle d’Ingress–Nginx.
RÉFÉRENCES :