CVE-2026-50107: Injektion i NGINX Gateway Fabric

NGINX Gateway Fabric er en styringskomponent, der oversætter Kubernetes Gateway API-ressourcer til NGINX-konfiguration for NGINX Plus eller NGINX Open Source. CVE-2026-50107 er en injektionssårbarhed i den komponent, der genererer denne konfiguration. Når en bruger sætter et access log-format i NginxProxy-ressourcen (en Custom Resource Definition, en Kubernetes-udvidelse til at styre indstillinger), bliver værdien skrevet direkte ind i konfigurationsfilen uden at blive renset. En bruger, der har rettigheder til at oprette eller redigere denne ressource, kan derfor smugle egne NGINX-direktiver ind i konfigurationen. Fejlen ligger i kontrolplanet, altså i det system, der styrer konfigurationen, ikke i selve datatrafikken, der rammer NGINX direkte.

Sårbarheden rammer organisationer, der kører NGINX Gateway Fabric i et Kubernetes-miljø med NGINX Plus eller NGINX Open Source som dataplan. Det gælder typisk virksomheder og kommuner, der bruger Kubernetes til at drive interne eller eksterne webtjenester, og hvor udviklere, driftsteams eller andre har rettigheder til at oprette eller ændre NginxProxy-ressourcer i klyngen.

En bruger med begrænsede rettigheder til klyngen kan indsætte egne NGINX-direktiver i konfigurationen. I praksis kan det bruges til at omdirigere logdata til en ekstern server, afsløre interne oplysninger om trafik og systemer, eller ændre hvordan indgående trafik bliver behandlet. Fordi svagheden ligger i selve konfigurationsgenereringen, kan en enkelt uautoriseret ændring påvirke hele indgangspunktet for trafik i klyngen.

CVSS-scoren er 8,1 ud af 10, hvilket er alvorligt. Angrebet kræver ikke brugerinteraktion, men det kræver, at angriberen allerede er logget ind med lave rettigheder i klyngen, typisk en udvikler eller et teammedlem med adgang til at redigere NginxProxy-ressourcer. Der er ikke rapporteret aktiv udnyttelse eller offentligt tilgængelig kode til at udnytte fejlen. Konsekvensen ved udnyttelse er høj for fortrolighed og integritet, men påvirker ikke tilgængeligheden af tjenesten.

Følgende punkter lukker hullet og reducerer risikoen for misbrug af rettigheder, I allerede har delt ud i klyngen.

1. Opdatér NGINX Gateway Fabric til den version, hvor leverandøren har rettet fejlen i konfigurationsgeneratoren.
2. Gennemgå og stram RBAC-rettigheder (Kubernetes-adgangsstyring), så kun betroede konti kan oprette eller redigere NginxProxy-ressourcer.
3. Gennemgå eksisterende NginxProxy-ressourcer for uventede eller unormale værdier i access log-formatet.
4. Overvåg ændringer i NGINX-konfigurationen og i Kubernetes-audit-logs for uautoriserede redigeringer af CRD’en.
5. Kontakt en sikkerhedsrådgiver, hvis I ikke selv har ressourcer til at gennemgå RBAC-opsætningen eller vurdere, hvem der reelt har adgang til at ændre ressourcen.