F5 NGINX Ingress Controller: Authentifizierungsumgehung über gefälschte Forwarded-Header
Zusammenfassung
F5 NGINX Ingress Controller (NIC) mit ExternalAuth oder externer Authentifizierung im Ingress leitet vom Client gesendete Header X-Forwarded-Prefix, X-Forwarded-URI, X-Original-URI und X-Forwarded-Method unbereinigt in die interne Authentifizierungs-Subanfrage weiter. Ein nicht authentifizierter Angreifer aus dem Netz kann so Anfrageattribute fälschen, die der externe Authentifizierungsdienst auswertet, und Zugriff auf geschützte Pfade erlangen. Laut Hersteller betrifft die Schwachstelle nur die Datenebene; die Kontrollebene ist nicht exponiert.
Betroffen
- F5 NGINX Ingress Controller 5.5.0 bis unter 5.7.0 (gemäss Tabelle im F5-Advisory; gegen das vollständige Advisory prüfen)
- Nur bei Verwendung von ExternalAuth oder externer Authentifizierung im Ingress
- Versionen nach Ende des technischen Supports werden nicht bewertet
Behoben in
- Aktualisierung auf F5 NGINX Ingress Controller 5.7.0 oder neuer
Umgehung
- Das externe Authentifizierungs-Backend so konfigurieren, dass es vom Client gesendete X-Forwarded-* und X-Original-* Header ignoriert, oder so, dass es Session-Token statt weitergeleiteter Pfade auswertet (gemäss CVE-Eintrag)
- Sicherstellen, dass der Ingress diese Header von Clients nicht vertraut (nicht validierter Vorschlag, Test erforderlich)
Ausnutzung
- Ausnutzung in freier Wildbahn: Unbekannt.
- Öffentlicher Proof of Concept: keiner gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- EPSS laut Angabe 0.00393.
Unsere Empfehlung
- Prüfen, ob NIC 5.5.0 bis 5.6.x mit ExternalAuth oder externer Authentifizierung im Ingress eingesetzt wird.
- Falls ja, Aktualisierung auf NIC 5.7.0 oder neuer mit hoher Priorität durchführen.
- Bis zur Aktualisierung den Workaround zum Umgang mit den Headern nach einem Test anwenden.
- Prüfen, was hinter der Authentifizierung liegt (Admin-Oberflächen, Kundendaten), und Logs auf unerwartete Zugriffe kontrollieren.
- Bei OAuth-basierter externer Authentifizierung zusätzlich CVE-2026-104939 prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- F5 advisory K000162611 my.f5.com
- F5 out-of-band notice K000163408 my.f5.com
- NGINX Ingress Controller release notes docs.nginx.com
- Vulners VulnRichment CVE-2026-94197 vulners.com
- VulDB entry 419928 vuldb.com
- Vulners VulnRichment CVE-2026-104939 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:02.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.