Kong Gateway: Cache-Key-Fehler legt Antworten über Hostnamen hinweg offen
Zusammenfassung
Die Plugins proxy-cache und proxy-cache-advanced in Kong Gateway Enterprise und Kong AI Gateway lassen den Request-Hostnamen aus dem Cache-Key weg. Eine für einen Hostnamen zwischengespeicherte Antwort kann daher für einen anderen Hostnamen auf demselben Gateway ausgeliefert werden. Ein Angreifer, der Anfragen an das Gateway senden kann, erhält unter Umständen zwischengespeicherte Daten eines anderen Hosts, was die Vertraulichkeit betrifft. Die CNA bewertet die Lücke mit CVSS 4.0 8.7 (High) und gibt an, dass keine Authentifizierung und keine Benutzerinteraktion nötig sind; das tatsächliche Risiko hängt jedoch davon ab, ob die betroffenen Plugins aktiviert sind.
Betroffen
- Kong Gateway Enterprise 3.10.0.0 bis vor 3.10.0.20
- Kong Gateway Enterprise 3.13.0.0 bis vor 3.13.0.12
- Kong Gateway Enterprise 3.14.0.0 bis vor 3.14.0.17
- Kong Gateway Enterprise 3.15.0.0 bis vor 3.15.0.7
- Kong Gateway Enterprise 3.16.0.0 bis vor 3.16.0.2
- Kong AI Gateway 2.2.0 bis vor 2.2.1
- Betroffene Plugins: proxy-cache und proxy-cache-advanced
- Status von Enterprise 3.11.x und 3.12.x: Unbekannt.
- Status der Open-Source-Version von Kong Gateway: Unbekannt.
Behoben in
- Kong Gateway Enterprise 3.10.0.20
- Kong Gateway Enterprise 3.13.0.12
- Kong Gateway Enterprise 3.14.0.17
- Kong Gateway Enterprise 3.15.0.7
- Kong Gateway Enterprise 3.16.0.2
- Kong AI Gateway 2.2.1
Umgehung
Unbekannt. Der Hersteller veröffentlicht keinen Workaround.
Ausnutzung
- Nicht bekannt, dass die Lücke aktiv ausgenutzt wird.
- Kein öffentlicher Proof of Concept gefunden.
- Laut Aggregatoren nicht im CISA-KEV-Katalog; der CISA-Katalog wurde nicht direkt geprüft.
Unsere Empfehlung
- Alle Kong-Enterprise- und AI-Gateway-Installationen mit ihren Versionen inventarisieren.
- Prüfen, ob proxy-cache oder proxy-cache-advanced aktiviert ist und welche Hostnamen das Gateway teilen.
- Auf die korrigierten Versionen aktualisieren, zuerst die aus dem Internet erreichbaren Gateways.
- Falls nicht rasch gepatcht werden kann, die betroffenen Plugins auf Routen mit mehreren Hostnamen deaktivieren und bestehende Cache-Einträge leeren (unsere Übergangsmassnahme, nicht vom Hersteller bestätigt).
- Beim Hersteller den Status der Versionen 3.11.x und 3.12.x sowie der Open-Source-Version erfragen.
- NVD und CISA KEV erneut prüfen, sobald die NVD-Analyse abgeschlossen ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-92545 (CNA Kong) www.cve.org
- Kong Gateway changelog developer.konghq.com
- Kong AI Gateway changelog developer.konghq.com
- CVE-2026-92545 summary (threatint) cve.threatint.com
- CVE-2026-92545 summary (Strix) www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 00:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.