CVE-2026-3288: Inyección de Configuración en ingress-nginx a través de la Anotación rewrite-target

Palabras clave: CVE-2026-3288, vulnerabilidad ingress-nginx, seguridad en Kubernetes, inyección de configuración nginx, anotación rewrite-target, RCE, divulgación de Secretos, CWE-20, CAPEC-176, ingress-nginx CVE 2026, compromiso de clúster Kubernetes

Tabla de Contenidos

• Resumen
• Detalles de la Vulnerabilidad
• Análisis Técnico
• Versiones Afectadas
• Remediación
• Detección
• Métricas CVSS
• Cronología
• Referencias
• Contacto

Resumen

Se descubrió un problema de seguridad en ingress-nginx donde la anotación de Ingress nginx.ingress.kubernetes.io/rewrite-target puede usarse para inyectar configuración en nginx. Esto puede llevar a la ejecución de código arbitrario en el contexto del controlador ingress-nginx y a la divulgación de Secretos accesibles para el controlador. (Nótese que en la instalación predeterminada, el controlador puede acceder a todos los Secretos de todo el clúster.)

Descubierto por: Kai Aizen
Publicado: 9 de marzo de 2026
Puntuación CVSS: 8.8 (Alta)
CWE: CWE-20 — Validación de entrada inadecuada
CAPEC: CAPEC-176 — Manipulación de configuración/entorno
Componente: ingress-nginx
Tipo de ataque: Inyección de configuración nginx mediante anotación de Ingress
Privilegios requeridos: Bajos (PR:L)

Detalles de la Vulnerabilidad

Descripción

La anotación de Ingress nginx.ingress.kubernetes.io/rewrite-target está destinada a modificar la ruta de la solicitud antes de que se reenvíe a los servicios upstream. Sin embargo, la implementación permite inyectar directivas de configuración arbitrarias directamente en la configuración subyacente de nginx.

Un atacante con la capacidad de crear o modificar recursos de Ingress puede aprovechar esto para:

• Ejecutar código arbitrario en el contexto del controlador ingress-nginx
• Leer Secretos accesibles para el controlador
• En la instalación predeterminada, acceder a todos los Secretos de todo el clúster

Impacto

Causa Raíz

El problema central es que ingress-nginx procesa el valor de la anotación rewrite-target sin una validación de entrada suficiente, permitiendo que contenido controlado por el atacante se escriba directamente en la configuración de nginx. Se trata de una vulnerabilidad de inyección de configuración: el valor de la anotación se confía como una ruta de reescritura simple, pero puede contener directivas arbitrarias de nginx.

Análisis Técnico

Superficie de Ataque

La vulnerabilidad es alcanzable por cualquier usuario con permisos para crear o modificar recursos de Ingress en un clúster que ejecute ingress-nginx. El ataque requiere:

1. Capacidad de crear/modificar un recurso Ingress
2. Que el controlador ingress-nginx esté en ejecución
3. No se requiere interacción adicional del usuario

Historial de Inyecciones en Anotaciones de Ingress-nginx

Esta vulnerabilidad pertenece a una clase bien establecida de bugs de inyección en anotaciones de ingress-nginx:

El patrón recurrente: los valores de las anotaciones fluyen a la configuración de nginx sin una saneamiento adecuado. Diferentes anotaciones, misma causa raíz.

Versiones Afectadas

Comprueba si estás afectado

# Verifica si ingress-nginx está instalado
kubectl get pods --all-namespaces --selector app.kubernetes.io/name=ingress-nginx

# Verifica la versión de ingress-nginx
kubectl exec -n ingress-nginx \
  $(kubectl get pods -n ingress-nginx -l app.kubernetes.io/name=ingress-nginx -o jsonpath='{.items[0].metadata.name}') \
  -- /nginx-ingress-controller --version

Si no tienes ingress-nginx instalado en tu clúster, no estás afectado.

Remediación

Actualización (Recomendada)

Actualiza ingress-nginx a la versión corregida para tu rama:

# Usando Helm
helm upgrade ingress-nginx ingress-nginx/ingress-nginx \
  --namespace ingress-nginx \
  --version <patched-chart-version>

Consulta la documentación oficial de actualización: Actualizando Ingress-nginx

Mitigación (Si no es posible actualizar de inmediato)

Utiliza control de admisión para bloquear el uso de la anotación rewrite-target hasta que puedas actualizar:

apiVersion: admissionregistration.k8s.io/v1
kind: ValidatingWebhookConfiguration
metadata:
  name: block-rewrite-target
webhooks:
  - name: block-rewrite-target.security.local
    rules:
      - apiGroups: ["networking.k8s.io"]
        apiVersions: ["v1"]
        operations: ["CREATE", "UPDATE"]
        resources: ["ingresses"]
    clientConfig:
      # Apunta a un servicio webhook que rechace los recursos Ingress
      # que contengan la anotación rewrite-target

Detección

Los datos sospechosos dentro del campo rules.http.paths.path de un recurso Ingress podrían indicar un intento de explotar esta vulnerabilidad.

# Verifica anotaciones sospechosas en Ingress
kubectl get ingress --all-namespaces -o json | \
  jq '.items[] | select(.metadata.annotations["nginx.ingress.kubernetes.io/rewrite-target"] != null) | {namespace: .metadata.namespace, name: .metadata.name, rewrite: .metadata.annotations["nginx.ingress.kubernetes.io/rewrite-target"]}'

Si encuentras evidencia de que esta vulnerabilidad ha sido explotada, contacta a [email protected].

Métricas CVSS v3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Cronología

Referencias

• Aviso de Seguridad de Kubernetes
• Issue en GitHub — kubernetes/kubernetes#137560
• Entrada NVD
• GHSA-c56h-j8gw-3v54
• Guía de Actualización de Ingress-nginx

Créditos

Investigador: Kai Aizen — SnailSploit

Agradecimiento: Tabitha Sable en nombre del Comité de Respuesta de Seguridad de Kubernetes

Descargo de Responsabilidad

Esta información se proporciona únicamente con fines de investigación de seguridad y defensa. Cualquier explotación de esta vulnerabilidad con fines maliciosos es ilegal y poco ética. Siempre obtén la autorización adecuada antes de probar sistemas que no te pertenecen.

Contacto

Para preguntas o información adicional sobre esta vulnerabilidad:

• Correo electrónico: [email protected]
• Sitio web: snailsploit.com

Última actualización: 10 de marzo de 2026

📚 Documentación y Autor

El artículo completo, la metodología y la investigación relacionada de este proyecto se encuentran en:

https://snailsploit.com/security-research/cves/cve-2026-3288/

Creado por Kai Aizen — investigador independiente de seguridad ofensiva.

snailsploit.com · Investigación · Frameworks · GitHub · LinkedIn · ResearchGate · X/Twitter

Mismo ataque. Sustrato diferente.