CVE-2026-4342

إصدارات ingress-nginx السابقة للإصدارات v1.13.9 و v1.14.5 و v1.15.1

توجد ثغرة أمنية في ingress-nginx حيث يمكن استخدام مجموعة من تعليقات Ingress لإدخال تكوين في nginx. وقد يؤدي ذلك إلى تنفيذ تعليمات برمجية عشوائية في سياق وحدة التحكم ingress-nginx وكشف الأسرار التي يمكن لوحدة التحكم الوصول إليها. في التثبيت الافتراضي، تتمتع وحدة التحكم بإمكانية الوصول إلى جميع الأسرار على مستوى المجموعة. قد يتأثر ما يقدر بـ 100 ألف إلى أكثر من مليون بيئة على مستوى العالم، لا سيما بيئات المؤسسات والبيئات السحابية. يتطلب استغلال هذه الثغرة وصولاً إلى واجهة برمجة تطبيقات Kubernetes بامتيازات منخفضة (على سبيل المثال، القدرة على إنشاء موارد Ingress). تسمح هذه الثغرة للمهاجمين بحقن تكوين nginx ضار عبر مجموعات من التعليقات التوضيحية، مما قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد (RCE). تعتبر وحدة التحكم ingress-nginx عرضة لحقن التكوين من خلال تعليقات Ingress مصممة خصيصًا. يمكن للمهاجمين استغلال ذلك لتنفيذ تعليمات برمجية عشوائية ضمن سياق وحدة التحكم، مما قد يتيح لهم الوصول إلى معلومات حساسة، بما في ذلك الأسرار الخاصة بالمجموعة.

قم بالترقية إلى إصدار ingress-nginx 1.13.9 أو أحدث، أو 1.14.5 أو أحدث، أو 1.15.1 أو أحدث.