Kritische Sicherheitslücken in Kubernetes Ingress NGINX Controller

Der Kubernetes Ingress NGINX Controller weist mehrere Schwachstellen auf, die mit einem CVSS-Score von 8.8 als hochkritisch eingestuft werden. Betroffen sind alle Versionen vor 1.13.7 und 1.14.3. Die Lücken ermöglichen authentisierten Angreifern Remote-Code-Execution, das Umgehen von Sicherheitsmaßnahmen, Informationsoffenlegung und Denial-of-Service-Angriffe.

Die vier identifizierten CVEs (CVE-2026-24513, CVE-2026-24514, CVE-2026-1580 und CVE-2026-24512) betreffen den weit verbreiteten Ingress Controller, der in vielen Kubernetes-Clustern als zentrale Komponente für eingehenden Traffic fungiert. Die Schwachstellen setzen zwar eine Authentifizierung voraus, können jedoch von Angreifern mit eingeschränkten Berechtigungen ausgenutzt werden, um ihre Privilegien zu erweitern oder kritische Cluster-Komponenten zu kompromittieren.

Betroffenheit prüfen: Führen Sie kubectl get deployment -n ingress-nginx ingress-nginx-controller -o jsonpath='{.spec.template.spec.containers[0].image}' aus, um Ihre installierte Version zu ermitteln. Alternativ prüfen Sie die Versionsnummer in Ihren Helm-Charts oder Deployment-Manifesten. Alle Versionen unterhalb von 1.13.7 bzw. 1.14.3 sind verwundbar.

Empfehlung: Aktualisieren Sie umgehend auf Version 1.13.7 oder höher (für die 1.13.x-Reihe) bzw. auf Version 1.14.3 oder höher (für die 1.14.x-Reihe). Bis zum Update können Sie als Mitigation die RBAC-Berechtigungen für Ingress-Ressourcen restriktiver gestalten und nur vertrauenswürdigen Nutzern Zugriff gewähren. Überprüfen Sie zudem Ihre Ingress-Konfigurationen auf ungewöhnliche Änderungen.

Details: https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-0289

Tags :

Related Posts

Kritische Sicherheitslücke in Fortinet-Produkten ermöglicht unbefugten Zugriff

Fortinet warnt vor einer aktiv ausgenutzten Schwachstelle (CVE-2026-24858) mit kritischem CVSS-Score von 9,8. Die Lücke betrifft FortiOS, FortiManager, FortiAnalyzer, FortiProxy und FortiWeb und erlaubt Angreifern mit einem FortiCloud-Account, sich auf fremden Geräten anzumelden, wenn dort die FortiCloud SSO-Authentifizierung aktiviert ist.

Read More

Kritische Office-Schwachstelle CVE-2026-21509 wird aktiv ausgenutzt

Microsoft warnt vor einer Sicherheitslücke in Office-Produkten, die OLE-Schutzmaßnahmen umgeht und bereits aktiv von Angreifern ausgenutzt wird. Die Schwachstelle (CVE-2026-21509, CVSS 7.8) betrifft Microsoft Office 2016, 2019, Office LTSC 2021/2024 sowie Microsoft 365 Apps for Enterprise und ermöglicht es Angreifern, vulnerable COM/OLE-Controls auszunutzen, die normalerweise blockiert werden sollten. Ein erfolgreicher Angriff kann zur vollständigen Kompromittierung des Systems führen.

Read More

Kritische 1-Click RCE-Schwachstelle in OpenClaw AI-Assistenten

Der populäre Open-Source AI-Assistent OpenClaw (ehemals Moltbot/ClawdBot), der bereits von über 100.000 Entwicklern für umfassende System- und Nachrichtenzugriffe genutzt wird, war durch eine verkettete Schwachstelle angreifbar. Sicherheitsforscher von depthfirst entdeckten eine Logiklücke, die zu 1-Click Remote Code Execution führte. Ein einfacher Besuch einer präparierten Webseite reichte aus, um das System vollständig zu kompromittieren.

Read More