Ingress-NGINX 控制器 < 1.13.7 / 1.14.x < 1.14.3 多种漏洞

high Nessus 插件 ID 297852

语言：

简介

远程主机缺少一个或多个安全更新。

描述

远程主机上安装的 Ingress-NGINX 控制器版本低于 1.13.7 或 1.14.3。因此，该应用程序受到多个漏洞的影响：

- 在 ingress-nginx 中发现一个安全问题其中“nginx.ingress.kubernetes.io/auth-method”入口注释可用于将配置注入 nginx。这可能导致在 ingress-nginx 控制器的上下文中执行任意代码，并可能泄露控制器可访问的 secret。 (CVE-2026-1580)

- 在 ingress-nginx 中发现一个安全问题其中“rules.http.paths.path”入口字段可用于将配置注入 nginx。这可能导致在 ingress-nginx 控制器的上下文中执行任意代码，并可能泄露控制器可访问的 secret。 (CVE-2026-24512)

- 在 ingress-nginx 中发现一个安全问题其中“auth-url”入口注释提供的保护在存在特定错误配置的情况下可能无效。 (CVE-2026-24513)

- ingress-nginx 中发现一个安全问题其中验证准入控制器功能受到拒绝服务。通过将大型请求发送到验证准入控制器攻击者可造成内存消耗从而可能导致 ingress-nginx 控制器 pod 终止或节点耗尽内存。 (CVE-2026-24514)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。