CVE-2026-3288: Injection di configurazione in ingress-nginx tramite annotazione rewrite-target

Parole chiave: CVE-2026-3288, vulnerabilità di ingress-nginx, sicurezza Kubernetes, injection di configurazione nginx, annotazione rewrite-target, RCE, divulgazione di Secret, CWE-20, CAPEC-176, CVE 2026 di ingress-nginx, compromissione del cluster Kubernetes

Table of Contents

• Panoramica
• Dettagli della vulnerabilità
• Analisi tecnica
• Versioni interessate
• Rimedio
• Rilevamento
• Metriche CVSS
• Cronologia
• Riferimenti
• Contatti

Panoramica

È stato scoperto un problema di sicurezza in ingress-nginx in cui l'annotazione Ingress nginx.ingress.kubernetes.io/rewrite-target può essere utilizzata per iniettare configurazione in nginx. Ciò può portare all'esecuzione di codice arbitrario nel contesto del controller ingress-nginx e alla divulgazione dei Secret accessibili al controller. (Si noti che nell'installazione predefinita, il controller può accedere a tutti i Secret a livello di cluster.)

Scoperto da: Kai Aizen
Pubblicato: 9 marzo 2026
Punteggio CVSS: 8.8 (Alto)
CWE: CWE-20 — Validazione impropria dell'input
CAPEC: CAPEC-176 — Manipolazione di configurazione/ambiente
Componente: ingress-nginx
Tipo di attacco: Injection di configurazione nginx tramite annotazione Ingress
Privilegi richiesti: Bassi (PR:L)

Dettagli della vulnerabilità

Descrizione

L'annotazione Ingress nginx.ingress.kubernetes.io/rewrite-target ha lo scopo di modificare il percorso della richiesta prima che venga inoltrata ai servizi upstream. Tuttavia, l'implementazione consente l'iniezione di direttive di configurazione arbitrarie direttamente nella configurazione nginx sottostante.

Un attaccante in grado di creare o modificare risorse Ingress può sfruttare questo per:

• Eseguire codice arbitrario nel contesto del controller ingress-nginx
• Leggere i Secret accessibili al controller
• Nell'installazione predefinita, accedere a tutti i Secret a livello di cluster

Impatto

Causa principale

Il problema principale è che ingress-nginx elabora il valore dell'annotazione rewrite-target senza una sufficiente validazione dell'input, consentendo che contenuti controllati dall'attaccante vengano scritti direttamente nella configurazione nginx. Questa è una vulnerabilità di injection di configurazione: il valore dell'annotazione è considerato attendibile come semplice percorso di rewrite ma può contenere direttive nginx arbitrarie.

Analisi tecnica

Superficie d'attacco

La vulnerabilità è sfruttabile da qualsiasi utente con permessi per creare o modificare risorse Ingress in un cluster che esegue ingress-nginx. L'attacco richiede:

1. Capacità di creare/modificare una risorsa Ingress
2. Il controller ingress-nginx deve essere in esecuzione
3. Nessuna interazione aggiuntiva da parte dell'utente

Storia delle injection tramite annotazioni in ingress-nginx

Questa vulnerabilità appartiene a una classe consolidata di bug di injection tramite annotazioni in ingress-nginx:

Il problema ricorrente: i valori delle annotazioni confluiscono nella configurazione nginx senza un'adeguata sanificazione. Annotazioni diverse, stessa causa principale.

Versioni interessate

Verifica se sei interessato

# Check if ingress-nginx is installed
kubectl get pods --all-namespaces --selector app.kubernetes.io/name=ingress-nginx

# Check ingress-nginx version
kubectl exec -n ingress-nginx \
  $(kubectl get pods -n ingress-nginx -l app.kubernetes.io/name=ingress-nginx -o jsonpath='{.items[0].metadata.name}') \
  -- /nginx-ingress-controller --version

Se non hai ingress-nginx installato sul tuo cluster, non sei interessato.

Rimedio

Aggiornamento (Consigliato)

Aggiorna ingress-nginx alla versione corretta per il tuo ramo:

# Using Helm
helm upgrade ingress-nginx ingress-nginx/ingress-nginx \
  --namespace ingress-nginx \
  --version <patched-chart-version>

Fai riferimento alla documentazione ufficiale di aggiornamento: Aggiornare Ingress-nginx

Mitigazione (Se l'aggiornamento non è immediatamente possibile)

Utilizza l'admission control per bloccare l'uso dell'annotazione rewrite-target finché non puoi aggiornare:

apiVersion: admissionregistration.k8s.io/v1
kind: ValidatingWebhookConfiguration
metadata:
  name: block-rewrite-target
webhooks:
  - name: block-rewrite-target.security.local
    rules:
      - apiGroups: ["networking.k8s.io"]
        apiVersions: ["v1"]
        operations: ["CREATE", "UPDATE"]
        resources: ["ingresses"]
    clientConfig:
      # Point to a webhook service that rejects Ingress resources
      # containing the rewrite-target annotation

Rilevamento

Dati sospetti all'interno del campo rules.http.paths.path di una risorsa Ingress potrebbero indicare un tentativo di sfruttare questa vulnerabilità.

# Check for suspicious Ingress annotations
kubectl get ingress --all-namespaces -o json | \
  jq '.items[] | select(.metadata.annotations["nginx.ingress.kubernetes.io/rewrite-target"] != null) | {namespace: .metadata.namespace, name: .metadata.name, rewrite: .metadata.annotations["nginx.ingress.kubernetes.io/rewrite-target"]}'

Se trovi prove che questa vulnerabilità è stata sfruttata, contatta [email protected].

Metriche CVSS v3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Cronologia

Riferimenti

• Advisory di sicurezza Kubernetes
• Issue GitHub — kubernetes/kubernetes#137560
• Voce NVD
• GHSA-c56h-j8gw-3v54
• Guida all'aggiornamento di Ingress-nginx

Crediti

Ricercatore: Kai Aizen — SnailSploit

Riconoscimento: Tabitha Sable a nome del Kubernetes Security Response Committee

Esclusione di responsabilità

Queste informazioni sono fornite esclusivamente a scopo di ricerca sulla sicurezza e difesa. Qualsiasi sfruttamento di questa vulnerabilità per scopi dannosi è illegale e non etico. Ottieni sempre la dovuta autorizzazione prima di testare sistemi che non possiedi.

Contatti

Per domande o informazioni aggiuntive su questa vulnerabilità:

• Email: [email protected]
• Sito web: snailsploit.com

Ultimo aggiornamento: 10 marzo 2026

📚 Documentazione e autore

Il writeup completo di questo progetto, la metodologia e le ricerche correlate sono disponibili su:

https://snailsploit.com/security-research/cves/cve-2026-3288/

Creato da Kai Aizen — ricercatore indipendente di sicurezza offensiva.

snailsploit.com · Ricerca · Framework · GitHub · LinkedIn · ResearchGate · X/Twitter

Stesso attacco. Substrato diverso.