Kritische Sicherheitslücken in Kubernetes Ingress NGINX Controller

Der Kubernetes Ingress NGINX Controller weist mehrere Schwachstellen auf, die mit einem CVSS-Score von 8.8 als hochkritisch eingestuft werden. Betroffen sind alle Versionen vor 1.13.7 und 1.14.3. Die Lücken ermöglichen authentisierten Angreifern Remote-Code-Execution, das Umgehen von Sicherheitsmaßnahmen, Informationsoffenlegung und Denial-of-Service-Angriffe.

Die vier identifizierten CVEs (CVE-2026-24513, CVE-2026-24514, CVE-2026-1580 und CVE-2026-24512) betreffen den weit verbreiteten Ingress Controller, der in vielen Kubernetes-Clustern als zentrale Komponente für eingehenden Traffic fungiert. Die Schwachstellen setzen zwar eine Authentifizierung voraus, können jedoch von Angreifern mit eingeschränkten Berechtigungen ausgenutzt werden, um ihre Privilegien zu erweitern oder kritische Cluster-Komponenten zu kompromittieren.

Betroffenheit prüfen: Führen Sie kubectl get deployment -n ingress-nginx ingress-nginx-controller -o jsonpath='{.spec.template.spec.containers[0].image}' aus, um Ihre installierte Version zu ermitteln. Alternativ prüfen Sie die Versionsnummer in Ihren Helm-Charts oder Deployment-Manifesten. Alle Versionen unterhalb von 1.13.7 bzw. 1.14.3 sind verwundbar.

Empfehlung: Aktualisieren Sie umgehend auf Version 1.13.7 oder höher (für die 1.13.x-Reihe) bzw. auf Version 1.14.3 oder höher (für die 1.14.x-Reihe). Bis zum Update können Sie als Mitigation die RBAC-Berechtigungen für Ingress-Ressourcen restriktiver gestalten und nur vertrauenswürdigen Nutzern Zugriff gewähren. Überprüfen Sie zudem Ihre Ingress-Konfigurationen auf ungewöhnliche Änderungen.

Details: https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-0289

Tags :

Related Posts

Protobuf-Bibliothek anfällig für DoS durch JSON-Parsing-Fehler

In der Python-Implementierung der protobuf-Bibliothek (alle Versionen bis einschließlich 6.33.4) wurde eine Sicherheitslücke mit hohem Schweregrad entdeckt. Die Schwachstelle CVE-2026-0994 ermöglicht Denial-of-Service-Angriffe durch Umgehung der Rekursionstiefenbegrenzung beim JSON-Parsing.

Read More

Kritische Sicherheitslücke in Fortinet-Produkten ermöglicht unbefugten Zugriff

Fortinet warnt vor einer aktiv ausgenutzten Schwachstelle (CVE-2026-24858) mit kritischem CVSS-Score von 9,8. Die Lücke betrifft FortiOS, FortiManager, FortiAnalyzer, FortiProxy und FortiWeb und erlaubt Angreifern mit einem FortiCloud-Account, sich auf fremden Geräten anzumelden, wenn dort die FortiCloud SSO-Authentifizierung aktiviert ist.

Read More

CVE-2026-20045: Cisco Unified Communications Produkte von Zero Day Schwachstelle betroffen

Eine äußerst kritische Sicherheitslücke wurde in mehreren Cisco Unified Communications-Produkten entdeckt und wird bereits aktiv in freier Wildbahn ausgenutzt. Die als CVE-2026-20045 bezeichnete Schwachstelle ermöglicht es Angreifern, ohne jegliche Authentifizierung vollständige Kontrolle über betroffene Systeme zu erlangen. Cisco hat dieser Schwachstelle einen CVSS-Score von 8.2 zugewiesen, stuft sie jedoch aufgrund der Möglichkeit zur Root-Rechte-Eskalation als kritisch ein. Das Cisco Product Security Incident Response Team bestätigt, dass die Lücke bereits für Angriffe missbraucht wird, was ein sofortiges Handeln aller Betreiber betroffener Systeme erforderlich macht.

Read More