mbanyamer/cve-2026-24514-kubernetes-dosإثبات مفهوم لاستغلال CVE-2026-24514، وهو استنزاف للذاكرة يؤدي إلى رفض الخدمة في خطاف قبول التحقق من ingress-nginx، مما يسمح للمهاجمين منخفضي الامتياز بتعطيل حاويات وحدة التحكم عبر طلبات AdmissionReview ضخمة الحجم.
ثغرة رفض خدمة عن بُعد غير مصادق عليها / منخفضة الامتيازات تسمح للمهاجمين بتعطيل حاويات وحدة تحكم ingress-nginx عبر طلبات AdmissionReview ضخمة الحجم.
لا يفرض خطاف التحقق من القبول في ingress-nginx (عند تفعيله) حدودًا معقولة على حجم كائنات AdmissionReview الواردة.
يمكن للمهاجم الذي يصل إلى نقطة نهاية الخطاف — حتى بامتيازات منخفضة فقط — إرسال حمولات JSON ضخمة للغاية، مما يجبر عملية وحدة التحكم على تخصيص كميات هائلة من الذاكرة.
تشمل العواقب:
درجة CVSS v3.1 الأساسية
6.5 متوسطة
سلسلة المتجه
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
نقطة الضعف
CWE-770: تخصيص الموارد دون حدود أو تحكم في المعدل
الاعتمادات
محمد إدريس بن يامر – @banyamer_security (الأردن)
| المكوّن | الإصدارات المعرضة للخطر | الإصدارات المُصلحة | الخطاف مفعّل افتراضيًا؟ |
|---|---|---|---|
| ingress-nginx | < 1.13.7 | ≥ 1.13.7 | لا |
| ingress-nginx (1.14.x) | < 1.14.3 | ≥ 1.14.3 | لا |
ملاحظة: تظهر الثغرة فقط عندما تكون ميزة خطاف التحقق من القبول مفعّلة بشكل صريح.
sequenceDiagram
participant Attacker as Low-priv. Attacker<br>(inside / adjacent cluster)
participant API as kube-apiserver
participant WebhookConfig as ValidatingWebhookConfiguration<br>(ingress-nginx-admission)
participant AdmissionSvc as ingress-nginx-admission<br>Service / Pod
participant Controller as ingress-nginx Controller Process
Note over Attacker,Controller: Attack prerequisites: webhook enabled + reachable endpoint
Attacker->>API: 1. Create/Update large Ingress resource<br>OR direct POST to webhook endpoint
API->>WebhookConfig: 2. Trigger admission review
WebhookConfig->>AdmissionSvc: 3. Forward AdmissionReview v1 request<br>(very large JSON body)
AdmissionSvc->>Controller: 4. Receive & begin parsing huge payload
activate Controller
Note right of Controller: No request body size limit in vulnerable versions
Controller-->>Controller: 5. Allocate memory for large strings/objects<br>(heap grows massively → OOM imminent)
Controller->>AdmissionSvc: 6. (Fails / hangs due to memory exhaustion)
deactivate Controller
Kubernetes->>AdmissionSvc: 7. kubelet detects memory limit breach
Kubernetes->>AdmissionSvc: 8. OOMKill container
AdmissionSvc-->>API: 9. Webhook timeout / connection refused
API-->>Attacker: 10. Admission denied or timeout<br>(Ingress creation fails)
Note over Attacker,Kubernetes: Result:
Note over Attacker,Kubernetes: • ingress-nginx pod restarted / crashed
Note over Attacker,Kubernetes: • Temporary loss of ingress validation
Note over Attacker,Kubernetes: • Potential brief service disruption for new ingresses
Note over Attacker,Kubernetes: • Possible node pressure in low-memory clustersمهم: يجب عرض هذه الثغرة فقط في مجموعات مختبرية/اختبارية معزولة وبإذن صريح.
تشغيل هذا ضد بيئات الإنتاج غير قانوني وقد يتسبب في انقطاعات.
طريقة الاختبار الآمنة الموصى بها:
# 1. Port-forward the admission service locally
kubectl port-forward svc/ingress-nginx-controller-admission \
8443:443 -n ingress-nginx
# 2. Run PoC with increasing payload sizes (start small!)
python3 cve-2026-24514-Kubernetes.py https://localhost:8443/validate 25 --insecure
# 3. Monitor memory & pod status in another terminal
watch -n 2 'kubectl top pods -n ingress-nginx && kubectl get pods -n ingress-nginx'
# More aggressive examples (use with caution)
python3 cve-2026-24514-Kubernetes.py https://localhost:8443/validate 80 --insecure
python3 cve-2026-24514-Kubernetes.py https://localhost:8443/validate 150 --insecure --field-name enormousJunk
سيناريوهات الهجوم الواقعية:
--enable-validating-webhook=false)الإفصاح المسؤول واعتماد PoC: محمد إدريس بن يامر (@banyamer_security)