CVE-2026-32682: Fejl i NGINX Gateway Fabric via GRPCRoute
Fejlkonfigureret GRPCRoute kan vælte kontrolplanet i NGINX Gateway Fabric. Begræns rettigheder og opdatér, når rettelse er tilgængelig.
Hvad er det?
CVE-2026-32682 er en fejl i NGINX Gateway Fabric, et styringslag der oversætter Kubernetes Gateway API-regler til NGINX-konfiguration. Fejlen ligger i CWE-129, forkert validering af array-indeks, som betyder at programmet ikke kontrollerer, om et referencepunkt i data findes, før det bruges. En autentificeret bruger med ret til at oprette eller ændre en GRPCRoute, en regel for hvordan gRPC-trafik sendes videre, kan sende et backendRef-filter, der ikke er offentliggjort i detaljer, og som får kontrolplanet til at gå ned.
Hvem rammer det?
Det rammer virksomheder og organisationer, der kører NGINX Gateway Fabric i en Kubernetes-klynge som implementation af Gateway API, og hvor der er konfigureret GRPCRoute-ressourcer for gRPC-baseret trafik. Sårbarheden kræver, at angriberen allerede har lav-privilegeret adgang til at oprette eller redigere GRPCRoute-ressourcer, typisk en udvikler eller et team med namespace-rettigheder i klyngen.
Hvad kan ske?
Når kontrolplanet går ned, stopper opdateringen af routingregler for gRPC-trafik. Eksisterende trafik kan fortsætte kortvarigt, men nye ændringer, skalering og fejlretning i gateway-laget stopper, indtil kontrolplanet genstartes. For en dansk virksomhed, der bruger gRPC til interne mikroservices, betyder det driftsstop for de tjenester, der afhænger af routing-opdateringer, og ekstra arbejde for driftsteamet med at genstarte og undersøge årsagen.
Hvor alvorligt er det?
CVSS-score er 6,5 af 10, moderat. Angrebet kræver netværksadgang, lav kompleksitet og et lavt privilegeniveau, det vil sige en gyldig konto med ret til at ændre GRPCRoute. Der kræves ingen brugerinteraktion fra andre. Kun tilgængelighed er påvirket, altså at systemet holder op med at virke, mens fortrolighed og integritet ikke berøres. Der er ingen oplysninger om, at sårbarheden aktivt bliver udnyttet, og ingen offentlig kode til at udnytte den er kendt på offentliggørelsesdatoen.
Hvad gør jeg nu?
Følg denne rækkefølge for at lukke hullet og begrænse risikoen, indtil en rettelse er installeret.
- Begræns, hvem der har rettigheder til at oprette eller ændre GRPCRoute-ressourcer i jeres Kubernetes-klynger, via rollebaseret adgangsstyring (RBAC). Kun betroede driftskonti bør have denne rettighed.
- Gennemgå eksisterende GRPCRoute-konfigurationer for usædvanlige backendRef-filtre, som ikke stemmer med jeres kendte opsætning.
- Følg NGINX Gateway Fabric-projektets sikkerhedsmeddelelser for en opdateret version, der retter fejlen, og planlæg opgradering, så snart den er tilgængelig.
- Overvåg kontrolplanets logs for uventede genstarter eller fejl relateret til GRPCRoute-behandling.
- Indfør en godkendelsesproces (code review eller pull request) for ændringer i Gateway API-ressourcer, så en enkelt konto ikke kan indføre skadelig konfiguration uden kontrol.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om jeres RBAC-opsætning allerede begrænser risikoen tilstrækkeligt.
Begræns rettigheder nu, opgradér ved rettelse
Vi anbefaler, at I straks stramper RBAC-rettighederne til GRPCRoute-ressourcer, så kun få betroede konti kan ændre dem. Det er den reelle beskyttelse, da sårbarheden kræver denne adgang. I kan vente med selve opgraderingen, til projektet udgiver en rettet version, så længe rettighedsstyringen er på plads og I overvåger for uventede genstarter.
Tidslinje
Konkrete eksempler
Udvikler med namespace-rettigheder vælter gateway ved fejl
En dansk softwarevirksomhed lader udviklingsteams selv oprette GRPCRoute-ressourcer i deres udviklingsklynge for at teste nye mikroservices. En udvikler indfører ved en fejl et backendRef-filter, der ikke er gyldigt, og kontrolplanet i NGINX Gateway Fabric går ned. Routing af gRPC-trafik stopper for alle teams i klyngen, indtil driftsteamet genstarter kontrolplanet og retter konfigurationen.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er kun ramt, hvis I bruger NGINX Gateway Fabric i en Kubernetes-klynge og har konfigureret GRPCRoute-ressourcer til gRPC-trafik. Brug ikke NGINX Gateway Fabric eller gRPC-routing, er I ikke berørt.
Hvordan tjekker vi, om vores opsætning er sårbar?
Gennemgå, hvilke konti og roller i jeres klynge har rettigheder til at oprette eller ændre GRPCRoute-ressourcer. Har flere end nødvendigt denne ret, bør den begrænses uafhængigt af denne konkrete sårbarhed.
Kan vi vente til weekenden med at gøre noget?
Ja, hvis I allerede begrænser adgangen til GRPCRoute-ressourcer til få betroede konti. Angrebet kræver denne adgang, så en velstyret RBAC-opsætning reducerer risikoen markant, mens I venter på en officiel rettelse.
Skal vi anmelde dette til nogen myndighed?
Der er ingen anmeldelsespligt for sårbarheden i sig selv. Fører et konkret angreb til driftsstop, der påvirker persondata eller kritisk infrastruktur, kan I være forpligtet til at underrette efter GDPR eller NIS2, afhængigt af jeres sektor.
Er der en gratis måde at rette det på uden opgradering?
Ja. Den mest effektive foranstaltning uden opgradering er at begrænse RBAC-rettigheder til GRPCRoute-ressourcer, så kun betroede driftskonti kan ændre dem. Det kræver ingen ny software, kun ændring af eksisterende adgangsstyring.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
When NGINX Gateway Fabric is configured using GRPCRoutes, an authenticated, remote attacker with permission to create or modify GRPCRoute resources can cause the NGINX Gateway Fabric control plane to terminate by sending undisclosed GRPCRoute configurations containing backendRef filters.
Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.