Se ha descubierto una vulnerabilidad de seguridad crítica en ingress-nginx, un popular controlador de ingreso para Kubernetes, que podría permitir a atacantes autenticados ejecutar código arbitrario y acceder a secretos sensibles del clúster.

La vulnerabilidad, identificada como CVE-2026-24512, afecta a múltiples versiones del software y requiere acción inmediata por parte de los administradores.

La falla de seguridad existe en el campo rules.http.paths.path del recurso Ingress, que los atacantes pueden explotar para inyectar configuraciones maliciosas en el servidor web nginx.

Esta vulnerabilidad de inyección de configuración permite a los actores de amenazas ejecutar código arbitrario en el contexto del controlador ingress-nginx.

Además, los atacantes pueden obtener acceso no autorizado a Secrets a los que el controlador tenga permiso de lectura.

En instalaciones predeterminadas, el controlador ingress-nginx suele tener acceso a todos los Secrets en todo el clúster de Kubernetes, lo que amplifica significativamente el impacto potencial.

Esto indica que la falla puede ser explotada de forma remota a través de una red con baja complejidad de ataque, requiriendo solo privilegios de nivel bajo y sin necesidad de interacción del usuario.

Versiones afectadas

La vulnerabilidad impacta las siguientes versiones de ingress-nginx:

Las organizaciones que utilizan ingress-nginx deben tomar medidas inmediatas para proteger sus clústeres de Kubernetes.

El comité de respuesta de seguridad de Kubernetes recomienda actualizar a la versión 1.13.7, 1.14.3 o cualquier versión posterior lo antes posible.

Las instrucciones detalladas de actualización están disponibles en la documentación oficial de actualización de Ingress-NGINX.

Para entornos donde las actualizaciones inmediatas no sean viables, los administradores pueden implementar una mitigación temporal desplegando un controlador de admisión de validación.

Este controlador debe configurarse para rechazar cualquier recurso Ingress que utilice el tipo de ruta ImplementationSpecific, bloqueando así el vector de ataque hasta que se pueda completar una actualización adecuada.

Los equipos de seguridad deben monitorear sus entornos de Kubernetes en busca de signos de explotación. Datos sospechosos o malformados dentro del campo rules.http.paths.path de los recursos Ingress podrían indicar un intento de explotación activo.

Según el aviso de Kubernetes, las organizaciones pueden verificar si están ejecutando versiones vulnerables ejecutando el comando: kubectl get pods --all-namespaces --selector app.kubernetes.io/name=ingress-nginx.

Si se descubre evidencia de explotación, los administradores deben contactar de inmediato al equipo de seguridad de Kubernetes en security@kubernetes.io.

Vale la pena señalar que el mantenimiento de ingress-nginx finalizará pronto, como anunció el proyecto Kubernetes, lo que convierte la migración a soluciones alternativas de ingreso en una consideración estratégica para la seguridad a largo plazo.