Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] Kubernetes ingress-nginx opravuje 4 zranitelnosti
Kubernetes ve verzích 1.13.7 a 1.14.3 opravuje 4 zranitelnosti v produktu ingress-nginx. Přítomnost ingress-nginx v clusteru lze ověřit příkazem "kubectl get pods --all-namespaces --selector app.kubernetes.io/name=ingress-nginx" [1].
Neautentizovanému vzdálenému útočníkovi je v důsledku chybné konfigurace zpracování chybových odpovědí umožněno obejít autentizační ochranu a získat přístup k chráněným URL. Zneužití je možné pouze při nasazení chybně implementované externí součásti pro zpracování chyb, zatímco vestavěný mechanismus funguje správně [2].
Zranitelnost se nachází v produktu:
- ingress-nginx; < 1.13.7; >=1.14.0, < v1.14.3
CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N
Více informací:
- CVE-2026-24513 na cve.org, NVD
- CWE-754: Improper Check for Unusual or Exceptional Conditions na cwe.mitre.org
Zranitelnost byla veřejně oznámena 3. 2. 2026.
Autentizovanému vzdálenému útočníkovi je v prostředí Kubernetes ingress-nginx umožněno zasíláním nadměrně velkých požadavků na kontrolní mechanismus přijímání zdrojů vyčerpat systémové prostředky, což může vést k DoS útoku [3].
Zranitelnost se nachází v produktu:
- ingress-nginx; < 1.13.7; >=1.14.0, < v1.14.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2026-24514 na cve.org, NVD
- CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org
Zranitelnost byla veřejně oznámena 3. 2. 2026.
Autentizovanému vzdálenému útočníkovi je v prostředí ingress-nginx v důsledku nedostatečné validace hodnot umožněno spustit kód v kontextu řídicí komponenty ingress-nginx, což může vést i ke zpřístupnění Kubernetes Secrets dostupných tomuto controlleru [4][5].
Zranitelnost se nachází v produktu:
- ingress-nginx; <1.13.7; >=1.14.0, <1.14.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2026-1580 na cve.org, NVD
- CVE-2026-24512 na cve.org, NVD
- CWE-20: Improper Input Validation na cwe.mitre.org
Zranitelnost byla veřejně oznámena 3. 2. 2026.
Odkazy
- [1] https://kubernetes.io/docs/reference/issues-security/official-cve-feed/
- [2] https://github.com/kubernetes/kubernetes/issues/136679
- [3] https://github.com/kubernetes/kubernetes/issues/136680
- [4] https://github.com/kubernetes/kubernetes/issues/136677
- [5] https://github.com/kubernetes/kubernetes/issues/136678
Za CESNET, z.s.p.o. Henrieta Paločková dne 16. 2. 2026.