F5 NGINX Kubernetes Ingress Controller'da kimlik doğrulama ve yetkilendirme atlatma açığı
Yapay zeka üretimi20.10.2026
- CVE
- CVE-2026-94197
- Ciddiyet
- Yüksek (CVSS 7.5)
- Firma / ürün
- - / -
Özet
F5 NGINX Kubernetes Ingress Controller (NIC), ExternalAuth politikasıyla yapılandırıldığında, istemciden gelen X-Forwarded başlıkları temizlenmeden iç kimlik doğrulama isteğine iletiliyor. Bu durum, yetkisiz bir saldırganın dış kimlik doğrulama sağlayıcısına gönderilen istek özelliklerini taklit etmesine olanak tanıyor.
Ayrıntılar
NVD kaydına göre, F5 NGINX Kubernetes Ingress Controller (NIC) ExternalAuth politikasıyla ya da Ingress dış kimlik doğrulama özelliğiyle yapılandırıldığında, istemcinin gönderdiği X-Forwarded-Prefix, X-Forwarded-URI, X-Original-URI ve X-Forwarded-Method başlıkları temizlenmeden iç kimlik doğrulama alt isteğine (NGINX auth_request yönergesi) aktarılıyor. Sonuç olarak, kimlik doğrulama sağlayıcısına gönderilen istek parametrelerini taklit eden yetkisiz bir uzaktan saldırgan, korumalı yollara erişim elde edebiliyor. Açık yalnızca veri düzleminde etkili olup kontrol düzlemine bir etkisi yoktur. CVSS puanı 7.5 olduğu için ciddiyeti yüksek olarak sınıflandırılmıştır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin, güncelleme yayınlandığında derhal uygulayın ve ürüne erişimi mümkün olduğunca sınırlı tutun.