Kong Gateway Enterprise: Falsche Autorisierung im RBAC der Admin API
Zusammenfassung
Kong Gateway Enterprise und Kong AI Gateway enthalten eine Schwachstelle bei der Autorisierung im RBAC der Admin API. Ein delegierter Administrator kann seine Rechte erweitern, indem er einen prozentkodierten Rollennamen verwendet oder sich selbst eine Rolle zuweist. Der Angreifer benötigt daher gültige Zugangsdaten eines delegierten Administrators und Netzwerkzugriff auf die Admin API. Der CVSS-4.0-Wert 8.7 stammt vom CNA Kong; die Analyse durch NVD steht noch aus.
Betroffen
- Kong Gateway Enterprise 3.10.0.0 bis vor 3.10.0.20
- Kong Gateway Enterprise 3.13.0.0 bis vor 3.13.0.12
- Kong Gateway Enterprise 3.14.0.0 bis vor 3.14.0.17
- Kong Gateway Enterprise 3.15.0.0 bis vor 3.15.0.7
- Kong Gateway Enterprise 3.16.0.0 bis vor 3.16.0.2
- Kong AI Gateway 2.2.0 bis vor 2.2.1
Behoben in
- Kong Gateway Enterprise 3.10.0.20, 3.13.0.12, 3.14.0.17, 3.15.0.7 oder 3.16.0.2, je nach Branch
- Kong AI Gateway 2.2.1 (gemäss CVE-Eintrag)
Umgehung
Unbekannt. Der Hersteller hat keine Workaround veröffentlicht. Als allgemeine Härtungsmassnahme den Zugriff auf die Admin API auf vertrauenswürdige Management-Netzwerke beschränken; dies ist keine bestätigte Massnahme gegen dieses Problem.
Ausnutzung
Es ist nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird. In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden. Der Status im CISA KEV wurde nicht überprüft.
Unsere Empfehlung
- Alle Kong-Gateway-Enterprise- und AI-Gateway-Instanzen mit ihren genauen Build-Nummern inventarisieren.
- Sicherstellen, dass die Admin API und Kong Manager nicht aus dem Internet erreichbar sind.
- Auf den korrigierten Build des eigenen Branchs aktualisieren. Die Korrekturen für 3.14 und 3.15 vor dem Rollout im Changelog prüfen.
- Delegierte Administratorkonten und Rollen überprüfen und die RBAC-Änderungsprotokolle auf unerwartete Rollenzuweisungen kontrollieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Kong Gateway changelog developer.konghq.com
- Kong AI Gateway changelog developer.konghq.com
- CVE record mirror (threatint) cve.threatint.com
- Strix CVE summary www.strix.ai
- OffSeq threat radar radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:02.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.