Nginx Ingress高危漏洞 CVE-2026-4342-容器服务 Kubernetes 版 ACK(ACK)-阿里云帮助中心

近日，Kubernetes 社区披露了Nginx Ingress相关高危漏洞 CVE-2026-4342。攻击者可通过组合使用 Ingress Annotation 向底层 Nginx 注入恶意配置，进而在 Nginx Ingress Controller 上下文中执行任意代码，并窃取 Controller 有权访问的 Kubernetes Secrets。该漏洞被评估为高危漏洞，CVSS 评分8.8。

默认安装配置下，Controller 具备访问集群范围内所有 Secrets 的权限。

影响范围

未安装 Nginx Ingress Controller 组件的集群不受此漏洞影响。该组件可通过以下两种方式安装。

组件管理

以下命令若有输出则表明已安装。

kubectl get pods --all-namespaces --selector app.kubernetes.io/name=ingress-nginx

Helm 应用市场
1. 在ACK集群列表页面，单击目标集群名称，在集群详情页左侧导航栏，选择应用 > Helm。
2. 在列表中查看是否存在 ack-ingress-nginx 或 ack-ingress-nginx-v1 对应的 Chart 应用。如存在，则表明已安装。
  通过 Helm 应用市场安装的应用版本为Nginx Ingress Controller 的版本号。

受影响的 Nginx Ingress 版本如下：

版本分支	受影响范围	修复版本
1.13.x	< v1.13.9	v1.13.9
1.14.x	< v1.14.5	v1.14.5
1.15.x	< v1.15.1	v1.15.1

如何检测

检查 Ingress 资源的 rules.http.paths.path 字段，若其中存在可疑数据，可能表明有人正在尝试利用此漏洞。

# 查看所有 Ingress 的 path 字段
kubectl get ingress --all-namespaces -o json | \
  jq '.items[].spec.rules[]?.http.paths[]?.path'

解决方案

ACK已发布漏洞修复版本 v1.13.9-release.1，请及时升级至最新的漏洞修复版本。步骤详见升级Nginx Ingress Controller组件。