Kubernetes ingress-nginx CVE-2026-4342：攻撃条件と修正版を正確に確認

【更新】旧記事はインターネット上の未認証攻撃のように読め、別のCSI Driver脆弱性も混在していました。本記事はKubernetes公式アドバイザリに基づき、ingress-nginxのCVE-2026-4342だけを扱います。

脆弱性と攻撃条件

CVE-2026-4342は、Ingressオブジェクトのコメントを悪用してNGINX設定を注入する問題です。悪用にはIngressリソース、特にannotationを作成または変更できる権限が必要です。成功するとingress-nginx controller上で任意コードが実行され、controllerが参照できるKubernetes Secretが漏えいする可能性があります。

影響版と修正版

• ▸影響: ingress-nginx 1.13.9未満
• ▸影響: 1.14.0から1.14.4
• ▸影響: 1.15.0
• ▸修正: 1.13.9、1.14.5、1.15.1

今すぐ行う確認

• ✓controllerイメージのタグまたはdigestを確認し、修正版以上へ更新する
• ✓Ingressを作成・変更できるServiceAccount、Role、ClusterRoleBindingを棚卸しする
• ✓annotationの変更履歴、controller Podの不審なプロセス、Secretアクセスを調査する
• ✓利用していない場合もingress-nginx controllerが残存していないか全namespaceで確認する

kubectl get pods -A -l app.kubernetes.io/name=ingress-nginx -o jsonpath='{range .items[*]}{.metadata.namespace}{"\t"}{.spec.containers[0].image}{"\n"}{end}'
kubectl auth can-i create ingress --all-namespaces --as=<subject>

優先順位の考え方

外部公開の有無だけで判断せず、Ingress編集権限を持つ主体とcontrollerのSecret参照範囲を掛け合わせて優先度を決めます。公式アドバイザリ公開時点では実悪用の観測はないとされていますが、更新を遅らせる根拠にはなりません。

公式情報