Kong Gateway Enterprise: HTTP-Header-Injection über X-Forwarded-Prefix
Zusammenfassung
Kong Gateway Enterprise und Kong AI Gateway übernehmen dekodierte CR- und LF-Zeichen aus dem Request-Pfad in den Header X-Forwarded-Prefix bei Regex-Routes. Ein Angreifer, der Anfragen an solche Routes senden kann, kann HTTP-Header einschleusen und Request Smuggling gegenüber den Upstream-Diensten hinter dem Gateway durchführen. Der CVSS-4.0-Wert beträgt 7.8, und die Auswirkungen betreffen hauptsächlich die Upstream-Systeme und nicht das Gateway selbst.
Betroffen
- Kong Gateway Enterprise 3.10.0.0 bis vor 3.10.0.20
- Kong Gateway Enterprise 3.13.0.0 bis vor 3.13.0.12
- Kong Gateway Enterprise 3.14.0.0 bis vor 3.14.0.17
- Kong Gateway Enterprise 3.15.0.0 bis vor 3.15.0.7
- Kong Gateway Enterprise 3.16.0.0 bis vor 3.16.0.2
- Kong AI Gateway 2.2.0 bis vor 2.2.1
Gemäss der CVE-Beschreibung sind nur Regex-Routes betroffen.
Behoben in
- Kong Gateway Enterprise 3.10.0.20, 3.13.0.12, 3.14.0.17, 3.15.0.7 und 3.16.0.2 (gemäss CVE-Eintrag)
- Kong AI Gateway 2.2.1 (gemäss CVE-Eintrag). Das AI-Gateway-Changelog führt den zugehörigen Fix unter 2.3.0 auf, daher sind die genauen Versionshinweise vor dem Rollout zu prüfen.
Umgehung
Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden.
Ausnutzung
- Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt.
- Von Drittanbieter-Trackern wurde kein öffentlicher Proof of Concept gefunden.
- Der Status nach dem ersten Tag nach der Veröffentlichung ist unbekannt.
Unsere Empfehlung
- Alle Instanzen von Kong Gateway Enterprise und Kong AI Gateway erfassen und prüfen, welche Routes Regex-Pfade verwenden.
- Auf die gepatchte Version des eigenen Zweigs aktualisieren, zuerst die aus dem Internet erreichbaren Gateways mit Regex-Routes.
- Bis zum Patch den Zugriff von Clients auf Regex-Routes wo möglich einschränken.
- Gateway und Upstream-Dienste auf fehlerhafte Anfragen und ungewöhnliche Header überwachen.
- KEV-Katalog und Proof-of-Concept-Quellen regelmässig neu prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-92441 www.cve.org
- Kong Gateway changelog developer.konghq.com
- Kong AI Gateway changelog developer.konghq.com
- OffSeq Radar: CVE-2026-92441 radar.offseq.com
- TheHackerWire: CVE-2026-92441 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:02.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.