ingress-nginx : déni de service via l’annotation mirror-target

Veille sécuritéCloud & DevOps

P4Faible

Un utilisateur autorisé à créer un Ingress pouvait exploiter l’annotation mirror-target pour écrire dans une API de configuration non authentifiée du contrôleur ingress-nginx, provoquant une interruption du trafic et, en théorie, une redirection. Le projet Kubernetes n’émettra pas de correctif, car la maintenance d’ingress-nginx a pris fin en mars 2026; l’avis recommande des mesures d’admission ou le correctif de la version forkée de SUSE.

IdentifiantCVE-2026-116472

GravitéFaible

Exploitationnon connue / non déterminée

Correctif1.15.2-prime1 (fork SUSE)

Source : NVD — CVE-2026-116472

Analyse technique

L’annotation miroir permettait de cibler une API de configuration du contrôleur et d’y soumettre des commandes d’écriture.

Impact, versions et correctif

Événement datéL’avis de sécurité Kubernetes a été publié le 2026-11-05 à 17:39, heure indiquée dans la source, soit dans la période demandée.

ImpactDéni de service du plan de données ingress-nginx; une redirection de trafic est également possible en théorie.

Versions affectéesDéploiements utilisant ingress-nginx; plage précise non indiquée dans l’avis consulté.

Version corrigée1.15.2-prime1 (fork SUSE)

ContournementRejeter les Ingress avec l’annotation mirror-target via un contrôleur d’admission ou abaisser annotations-risk-level à Medium ou Low.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS2.7

Publication2026-11-05T21:17:10+02:00

Détection / vérification

Recenser les contrôleurs ingress-nginx et les Ingress utilisant l’annotation mirror-target; examiner les cibles locales suspectes.

Action recommandée

Migrer depuis ingress-nginx ou appliquer les mesures d’admission indiquées; les utilisateurs du fork SUSE peuvent passer à 1.15.2-prime1.

Sources

NVD — CVE-2026-116472

Priorisation DFS : P4 · 1 source(s).