CVE-2026-24514 – ingress-nginx 検証用アドミッションWebhookにおける重大なメモリ枯渇

未認証/低権限のリモートサービス拒否（DoS）脆弱性。攻撃者が過大なAdmissionReviewリクエストを送信することで、ingress-nginxコントローラーのPodをクラッシュさせることが可能です。

概要とビジネスへの影響

ingress-nginx の検証用アドミッションWebhook（有効時）は、受信するAdmissionReviewオブジェクトのサイズに合理的な制限を課していません。
Webhookエンドポイントに到達できる攻撃者は、たとえ低権限のみであっても、極めて大きなJSONペイロードを送信し、コントローラープロセスに大量のメモリを割り当てさせることができます。

影響は以下の通りです：

ingress-nginx Podの即時OOM終了（OOMKilled）
新規/変更されたIngressリソースに対するアドミッション検証の喪失
新規Ingressトラフィックルーティングの一時的または長期的な中断
連鎖的な影響の可能性：ノードのメモリプレッシャー、Podの退避、リソース制約のある環境でのクラスター不安定性
最悪の場合のマルチテナントクラスター：無関係なネームスペースやワークロードへの影響

CVSS v3.1 基本スコア
6.5 Medium（中）
ベクター文字列
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

弱点
CWE-770: 制限またはスロットリングなしのリソース割り当て

クレジット
Mohammed Idrees Banyamer – @banyamer_security（ヨルダン）

影響を受けるバージョン

コンポーネント	脆弱なバージョン	修正済みバージョン	Webhookはデフォルトで有効か？
ingress-nginx	< 1.13.7	≥ 1.13.7	いいえ
ingress-nginx (1.14.x)	< 1.14.3	≥ 1.14.3	いいえ

注記: この脆弱性は、検証用アドミッションWebhook機能が明示的に有効化されている場合にのみ発現します。

📊 PoC攻撃フロー

sequenceDiagram
    participant Attacker as 低権限の攻撃者<br>(クラスター内/隣接)
    participant API as kube-apiserver
    participant WebhookConfig as ValidatingWebhookConfiguration<br>(ingress-nginx-admission)
    participant AdmissionSvc as ingress-nginx-admission<br>Service / Pod
    participant Controller as ingress-nginx コントローラープロセス

    Note over Attacker,Controller: 攻撃の前提条件: Webhook有効 + エンドポイント到達可能

    Attacker->>API: 1. 大規模なIngressリソースを作成/更新<br>またはWebhookエンドポイントへ直接POST
    API->>WebhookConfig: 2. アドミッションレビューをトリガー
    WebhookConfig->>AdmissionSvc: 3. AdmissionReview v1リクエストを転送<br>(非常に大きなJSONボディ)

    AdmissionSvc->>Controller: 4. 巨大なペイロードを受信し解析を開始
    activate Controller
    Note right of Controller: 脆弱なバージョンではリクエストボディサイズ制限なし
    Controller-->>Controller: 5. 大きな文字列/オブジェクト用にメモリを割り当て<br>(ヒープが大幅に増加 → OOM切迫)
    Controller->>AdmissionSvc: 6. (メモリ枯渇により失敗/ハング)
    deactivate Controller

    Kubernetes->>AdmissionSvc: 7. kubeletがメモリ制限超過を検知
    Kubernetes->>AdmissionSvc: 8. コンテナをOOMKill
    AdmissionSvc-->>API: 9. Webhookタイムアウト / 接続拒否
    API-->>Attacker: 10. アドミッション拒否またはタイムアウト<br>(Ingress作成失敗)

    Note over Attacker,Kubernetes: 結果:
    Note over Attacker,Kubernetes: • ingress-nginx Podが再起動/クラッシュ
    Note over Attacker,Kubernetes: • イングレス検証の一時的な喪失
    Note over Attacker,Kubernetes: • 新規イングレスに対する短時間のサービス中断の可能性
    Note over Attacker,Kubernetes: • 低メモリクラスターでのノードプレッシャーの可能性

悪用 – 使用例

重要: この脆弱性は、明示的な許可を得た隔離されたラボ/テストクラスターでのみ実証してください。
本番環境に対して実行することは違法であり、障害を引き起こす可能性があります。

推奨される安全なテスト方法:

# 1. アドミッションサービスをローカルにポートフォワード
kubectl port-forward svc/ingress-nginx-controller-admission \
  8443:443 -n ingress-nginx

# 2. ペイロードサイズを増やしながらPoCを実行（小さいサイズから開始！）
python3 cve-2026-24514-Kubernetes.py https://localhost:8443/validate 25 --insecure

# 3. 別のターミナルでメモリとPodの状態を監視
watch -n 2 'kubectl top pods -n ingress-nginx && kubectl get pods -n ingress-nginx'

# より攻撃的な例（注意して使用）
python3 cve-2026-24514-Kubernetes.py https://localhost:8443/validate 80 --insecure
python3 cve-2026-24514-Kubernetes.py https://localhost:8443/validate 150 --insecure --field-name enormousJunk

現実的な攻撃シナリオ:

クラスター内の攻撃者（侵害されたPod / 開発者アクセス）→ 内部DNS呼び出しを直接実行
設定ミスによるWebhookサービスの公開（LoadBalancer / NodePort）
ソーシャルエンジニアリング / サプライチェーン攻撃による、巨大なアノテーション/フィールドを含む悪意のあるIngressマニフェストの配布

緩和策と堅牢化の推奨事項

直ちにアップグレード を ingress-nginx ≥ 1.13.7 または ≥ 1.14.3 に実施
アップグレードが遅れる場合:
- 検証用アドミッションWebhookを無効化（--enable-validating-webhook=false）
- NetworkPolicyを使用してアドミッションサービスへのネットワークアクセスを制限
ingress-nginx Podの異常なメモリ使用量/再起動を監視
ingress-nginxネームスペースにリソースクォータ + メモリ制限を設定
内部Webhookエンドポイントに到達できるユーザーを監査

参考情報

公式イシュー（想定）: https://github.com/kubernetes/ingress-nginx/issues/136680
ingress-nginx セキュリティアドバイザリ: https://kubernetes.github.io/ingress-nginx/security/
プロジェクトリポジトリ: https://github.com/kubernetes/ingress-nginx
NVD CVEエントリ: https://nvd.nist.gov/vuln/detail/CVE-2026-24514

責任ある開示とPoCクレジット: Mohammed Idrees Banyamer (@banyamer_security)

cve-2026-24514-Kubernetes-Dos

人気