CVE-2026-52865
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Podatność w NGINX Ingress Controller pozwala uwierzytelnionemu atakującemu z uprawnieniami do tworzenia lub modyfikowania zasobów Ingress lub TransportServer na spowodowanie zakończenia procesu kontrolera. Prowadzi to do trwałego cyklu awarii, dopóki uszkodzony zasób pozostaje w klastrze.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku typu DoS na płaszczyznę sterowania NGINX Ingress Controller, co może zakłócić działanie aplikacji korzystających z tego kontrolera. Atak nie wpływa na płaszczyznę danych, ale może spowodować niedostępność usług zarządzania ruchem.
Rekomendacja
Zaleca się natychmiastową aktualizację NGINX Ingress Controller do najnowszej wersji, która zawiera poprawkę. Należy również ograniczyć uprawnienia do tworzenia i modyfikowania zasobów Ingress oraz TransportServer tylko do zaufanych użytkowników.
Inne podatności w NGINX Ingress Controller
Oryginalny opis (angielski, źródło NVD)
When NGINX Ingress Controller processes Ingress or TransportServer resources, an authenticated, remote attacker with permission to create or modify Ingress or TransportServer resources can cause the NGINX Ingress Controller process to terminate. Impact: The NGINX Ingress Controller control plane process terminates and enters a persistent crash loop while the malformed Ingress or TransportServer resource remains in the cluster. This vulnerability allows a remote, authenticated attacker with at least Ingress or TransportServer resource write access to cause a denial-of-service (DoS) on the NGINX Ingress Controller system. There is no data plane exposure; this is a control plane issue only. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.