CVE-2026-3288: rewrite-target एनोटेशन के माध्यम से ingress-nginx कॉन्फ़िगरेशन इंजेक्शन

कीवर्ड: CVE-2026-3288, ingress-nginx भेद्यता, Kubernetes सुरक्षा, nginx कॉन्फ़िगरेशन इंजेक्शन, rewrite-target एनोटेशन, RCE, Secret प्रकटीकरण, CWE-20, CAPEC-176, ingress-nginx CVE 2026, Kubernetes क्लस्टर समझौता

विषय-सूची

• अवलोकन
• भेद्यता विवरण
• तकनीकी विश्लेषण
• प्रभावित संस्करण
• निवारण
• पहचान
• CVSS मेट्रिक्स
• समयरेखा
• संदर्भ
• संपर्क

अवलोकन

ingress-nginx में एक सुरक्षा समस्या पाई गई है जहाँ nginx.ingress.kubernetes.io/rewrite-target Ingress एनोटेशन का उपयोग nginx में कॉन्फ़िगरेशन इंजेक्ट करने के लिए किया जा सकता है। इससे ingress-nginx कंट्रोलर के संदर्भ में मनमाना कोड निष्पादन, और कंट्रोलर के लिए सुलभ Secrets का प्रकटीकरण हो सकता है। (ध्यान दें कि डिफ़ॉल्ट इंस्टॉलेशन में, कंट्रोलर क्लस्टर-व्यापी सभी Secrets तक पहुँच सकता है।)

खोजकर्ता: Kai Aizen
प्रकाशित: 9 मार्च, 2026
CVSS स्कोर: 8.8 (उच्च)
CWE: CWE-20 — अनुचित इनपुट सत्यापन
CAPEC: CAPEC-176 — कॉन्फ़िगरेशन/पर्यावरण हेरफेर
घटक: ingress-nginx
हमले का प्रकार: Ingress एनोटेशन के माध्यम से Nginx कॉन्फ़िगरेशन इंजेक्शन
आवश्यक विशेषाधिकार: निम्न (PR:L)

भेद्यता विवरण

विवरण

nginx.ingress.kubernetes.io/rewrite-target Ingress एनोटेशन का उद्देश्य अनुरोध पथ को अपस्ट्रीम सेवाओं को अग्रेषित करने से पहले संशोधित करना है। हालाँकि, इसका कार्यान्वयन अंतर्निहित nginx कॉन्फ़िगरेशन में सीधे मनमाने कॉन्फ़िगरेशन निर्देशों के इंजेक्शन की अनुमति देता है।

Ingress संसाधन बनाने या संशोधित करने की क्षमता रखने वाला हमलावर इसका लाभ उठा सकता है:

• ingress-nginx कंट्रोलर के संदर्भ में मनमाना कोड निष्पादित करना
• कंट्रोलर के लिए सुलभ Secrets पढ़ना
• डिफ़ॉल्ट इंस्टॉलेशन में, क्लस्टर-व्यापी सभी Secrets तक पहुँच

प्रभाव

मूल कारण

मूल समस्या यह है कि ingress-nginx rewrite-target एनोटेशन मान को पर्याप्त इनपुट सत्यापन के बिना संसाधित करता है, जिससे हमलावर-नियंत्रित सामग्री को सीधे nginx कॉन्फ़िगरेशन में लिखा जा सकता है। यह एक कॉन्फ़िगरेशन इंजेक्शन भेद्यता है — एनोटेशन मान को एक सरल रीराइट पथ के रूप में विश्वसनीय माना जाता है, लेकिन इसमें मनमाने nginx निर्देश हो सकते हैं।

तकनीकी विश्लेषण

हमले की सतह

यह भेद्यता उस किसी भी उपयोगकर्ता द्वारा उपयोग योग्य है जिसके पास ingress-nginx चलाने वाले क्लस्टर में Ingress संसाधन बनाने या संशोधित करने की अनुमतियाँ हैं। इस हमले के लिए आवश्यक है:

1. Ingress संसाधन बनाने/संशोधित करने की क्षमता
2. ingress-nginx कंट्रोलर चल रहा होना चाहिए
3. किसी अतिरिक्त उपयोगकर्ता इंटरैक्शन की आवश्यकता नहीं

Ingress-nginx एनोटेशन इंजेक्शन इतिहास

यह भेद्यता ingress-nginx में एनोटेशन इंजेक्शन बगों के एक सुस्थापित वर्ग से संबंधित है:

आवर्ती पैटर्न: एनोटेशन मान पर्याप्त स्वच्छता (sanitization) के बिना nginx कॉन्फ़िगरेशन में प्रवाहित होते हैं। अलग-अलग एनोटेशन, एक ही मूल कारण।

प्रभावित संस्करण

जाँचें कि क्या आप प्रभावित हैं

# Check if ingress-nginx is installed
kubectl get pods --all-namespaces --selector app.kubernetes.io/name=ingress-nginx

# Check ingress-nginx version
kubectl exec -n ingress-nginx \
  $(kubectl get pods -n ingress-nginx -l app.kubernetes.io/name=ingress-nginx -o jsonpath='{.items[0].metadata.name}') \
  -- /nginx-ingress-controller --version

यदि आपके क्लस्टर पर ingress-nginx स्थापित नहीं है, तो आप प्रभावित नहीं हैं।

निवारण

अपग्रेड करें (अनुशंसित)

अपनी ब्रांच के लिए ingress-nginx को पैच किए गए संस्करण में अपग्रेड करें:

# Using Helm
helm upgrade ingress-nginx ingress-nginx/ingress-nginx \
  --namespace ingress-nginx \
  --version <patched-chart-version>

आधिकारिक अपग्रेड दस्तावेज़ देखें: Ingress-nginx अपग्रेड करना

शमन (यदि अपग्रेड तुरंत संभव नहीं है)

अपग्रेड करने तक rewrite-target एनोटेशन के उपयोग को रोकने के लिए एडमिशन कंट्रोल का उपयोग करें:

apiVersion: admissionregistration.k8s.io/v1
kind: ValidatingWebhookConfiguration
metadata:
  name: block-rewrite-target
webhooks:
  - name: block-rewrite-target.security.local
    rules:
      - apiGroups: ["networking.k8s.io"]
        apiVersions: ["v1"]
        operations: ["CREATE", "UPDATE"]
        resources: ["ingresses"]
    clientConfig:
      # Point to a webhook service that rejects Ingress resources
      # containing the rewrite-target annotation

पहचान

Ingress संसाधन के rules.http.paths.path फ़ील्ड में संदिग्ध डेटा इस भेद्यता का शोषण करने के प्रयास का संकेत दे सकता है।

# Check for suspicious Ingress annotations
kubectl get ingress --all-namespaces -o json | \
  jq '.items[] | select(.metadata.annotations["nginx.ingress.kubernetes.io/rewrite-target"] != null) | {namespace: .metadata.namespace, name: .metadata.name, rewrite: .metadata.annotations["nginx.ingress.kubernetes.io/rewrite-target"]}'

यदि आपको इस भेद्यता के शोषण के प्रमाण मिलते हैं, तो [email protected] से संपर्क करें।

CVSS v3.1 मेट्रिक्स

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

समयरेखा

संदर्भ

• Kubernetes सुरक्षा सलाह
• GitHub इश्यू — kubernetes/kubernetes#137560
• NVD प्रविष्टि
• GHSA-c56h-j8gw-3v54
• Ingress-nginx अपग्रेड गाइड

श्रेय

शोधकर्ता: Kai Aizen — SnailSploit

आभार: Kubernetes सुरक्षा प्रतिक्रिया समिति की ओर से Tabitha Sable

अस्वीकरण

यह जानकारी केवल सुरक्षा अनुसंधान और रक्षात्मक उद्देश्यों के लिए प्रदान की गई है। इस भेद्यता का दुर्भावनापूर्ण उद्देश्यों के लिए कोई भी शोषण अवैध और अनैतिक है। ऐसी प्रणालियों का परीक्षण करने से पहले हमेशा उचित प्राधिकरण प्राप्त करें जिनके आप स्वामी नहीं हैं।

संपर्क

इस भेद्यता के बारे में प्रश्नों या अतिरिक्त जानकारी के लिए:

• ईमेल: [email protected]
• वेबसाइट: snailsploit.com

अंतिम अद्यतन: 10 मार्च, 2026

📚 दस्तावेज़ीकरण और लेखक

इस प्रोजेक्ट का पूरा विवरण, कार्यप्रणाली और संबंधित शोध यहाँ उपलब्ध है:

https://snailsploit.com/security-research/cves/cve-2026-3288/

Kai Aizen द्वारा निर्मित — स्वतंत्र आक्रामक सुरक्षा शोधकर्ता।

snailsploit.com · Research · Frameworks · GitHub · LinkedIn · ResearchGate · X/Twitter

वही हमला। अलग सब्सट्रेट।