NGINX Ingress Controller: Fehlerhafte Authentifizierungsprüfung bei externalAuth
Zusammenfassung
NGINX Ingress Controller mit der Funktion externalAuth kann die HTTP-Antwort eines OAuth-Identitätsanbieters fehlerhaft verarbeiten. Ein entfernter, nicht authentifizierter Angreifer kann geschützte Pfade aufrufen, bevor die externe Authentifizierung abgeschlossen ist. Es besteht keine Exposition der Control Plane; die Schwachstelle betrifft nur die Data Plane. F5 bewertet sie mit CVSS v4.0 8.7, VulDB mit 5.3.
Betroffen
- F5 NGINX Ingress Controller 5.6.0 bis vor 5.7.0 (gemäss CVE-Eintrag)
- Das F5-Advisory K000162617 listet laut Recherchenotizen 5.6.0 bis 5.6.3 (das vollständige Advisory konnte nicht gelesen werden, daher überprüfen)
- 4.x und 3.x: Ende des technischen Supports, nicht bewertet
- 5.5-Zweig: Unbekannt.
Behoben in
- Auf NGINX Ingress Controller 5.7.0 oder neuer aktualisieren.
Umgehung
- Unbekannt. Es wurde keine vom Hersteller dokumentierte Zwischenlösung gefunden.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- Keine Berichte über Ausnutzung in freier Wildbahn gefunden. Eine sekundäre Quelle gibt an, dass die Schwachstelle nicht im CISA KEV ist (nicht verifiziert).
- Kein öffentlicher Proof of Concept gefunden.
- EPSS etwa 0.0036 (niedrig).
Unsere Empfehlung
- Alle NGINX-Ingress-Controller-Versionen inventarisieren und prüfen, ob externalAuth verwendet wird.
- Betroffene Instanzen auf 5.7.0 oder neuer aktualisieren.
- Zugriffsprotokolle auf unerwartete Zugriffe auf geschützte Pfade prüfen.
- Das vollständige F5-Advisory K000162617 und das verwandte Advisory K000163408 für weitere Hinweise lesen.
- Die verwandte Schwachstelle CVE-2026-94197 (Authentifizierungsumgehung durch Header-Spoofing in externalAuth) prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- F5 advisory K000162617 my.f5.com
- NGINX Ingress Controller changelog docs.nginx.com
- Vulners VulnRichment CVE-2026-104939 vulners.com
- VulDB entry 419918 vuldb.com
- malware.news F5 AV26-1049 copy malware.news
- Vulners VulnRichment CVE-2026-94197 (sibling issue) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:04.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.