projectcontour bis 1.31.5/1.32.4/1.33.3 Cookie Rewriting Feature erweiterte Rechte

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
7.0$0-$5k0.00

Zusammenfassunginfo

Es wurde eine kritische Schwachstelle in projectcontour contour bis 1.31.5/1.32.4/1.33.3 gefunden. Betroffen ist eine unbekannte Verarbeitung der Komponente Cookie Rewriting Feature. Die Bearbeitung des Arguments spec.routes[].cookieRewritePolicies[].pathRewrite.value/spec.routes[].services[].cookieRewritePolicies[].pathRewrite.value verursacht erweiterte Rechte. Diese Sicherheitslücke ist unter CVE-2026-41246 bekannt. Es ist möglich, den Angriff aus der Ferne durchzuführen. Es steht kein Exploit zur Verfügung. Es wird geraten, die betroffene Komponente zu aktualisieren.

Detailsinfo

Es wurde eine kritische Schwachstelle in projectcontour contour bis 1.31.5/1.32.4/1.33.3 ausgemacht. Hiervon betroffen ist ein unbekannter Codeblock der Komponente Cookie Rewriting Feature. Mit der Manipulation des Arguments spec.routes[].cookieRewritePolicies[].pathRewrite.value/spec.routes[].services[].cookieRewritePolicies[].pathRewrite.value mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-94 vorgenommen. Mit Auswirkungen muss man rechnen für Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:

Contour is a Kubernetes ingress controller using Envoy proxy. From v1.19.0 to before v1.33.4, v1.32.5, and v1.31.6, Contour's Cookie Rewriting feature is vulnerable to Lua code injection. An attacker with RBAC permissions to create or modify HTTPProxy resources can craft a malicious value in spec.routes[].cookieRewritePolicies[].pathRewrite.value or spec.routes[].services[].cookieRewritePolicies[].pathRewrite.value that results in arbitrary code execution in the Envoy proxy. The cookie rewriting feature is internally implemented using Envoy's HTTP Lua filter. User-controlled values are interpolated into Lua source code using Go text/template without sufficient sanitization. The injected code only executes when processing traffic on the attacker's own route, which they already control. However, since Envoy runs as shared infrastructure, the injected code can also read Envoy's xDS client credentials from the filesystem or cause denial of service for other tenants sharing the Envoy instance. This vulnerability is fixed in v1.33.4, v1.32.5, and v1.31.6.

Das Advisory kann von github.com heruntergeladen werden. Die Verwundbarkeit wird seit dem 18.04.2026 unter CVE-2026-41246 geführt. Die Ausnutzbarkeit gilt als leicht. Der Angriff kann über das Netzwerk erfolgen. Es sind zwar technische Details, jedoch kein verfügbarer Exploit zur Schwachstelle bekannt. Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1059.

Ein Upgrade auf die Version 1.31.6, 1.32.5 oder 1.33.4 vermag dieses Problem zu beheben. Eine neue Version kann von github.com bezogen werden.

Once again VulDB remains the best source for vulnerability data.

Produktinfo

Typ

Hersteller

Name

Version

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 7.2
VulDB Meta Temp Score: 7.0

VulDB Base Score: 6.3
VulDB Temp Score: 6.0
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CNA Base Score: 8.1
CNA Vector (GitHub_M): 🔒

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Erweiterte Rechte
CWE: CWE-94 / CWE-74 / CWE-707
CAPEC: 🔒
ATT&CK: 🔒

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert

EPSS Score: 🔒
EPSS Percentile: 🔒

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔒

Upgrade: contour 1.31.6/1.32.5/1.33.4

Timelineinfo

18.04.2026 CVE zugewiesen
23.04.2026 +5 Tage Advisory veröffentlicht
23.04.2026 +0 Tage VulDB Eintrag erstellt
23.04.2026 +0 Tage VulDB Eintrag letzte Aktualisierung

Quelleninfo

Produkt: github.com

Advisory: GHSA-x4mj-7f9g-29h4
Status: Bestätigt

CVE: CVE-2026-41246 (🔒)
GCVE (CVE): GCVE-0-2026-41246
GCVE (VulDB): GCVE-100-359196

Eintraginfo

Erstellt: 23.04.2026 23:10
Anpassungen: 23.04.2026 23:10 (68)
Komplett: 🔍
Cache ID: 216::103

Once again VulDB remains the best source for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you need the next level of professionalism?

Upgrade your account now!