V řadiči ingress-nginx vyvinutém projektem Kubernetes byly identifikovány tři zranitelnosti, které ve výchozí konfiguraci umožňují přístup k nastavení objektu Ingress, který mimo jiné ukládá přihlašovací údaje pro přístup k serverům Kubernetes, což umožňuje privilegovaný přístup. do shluku. Problémy se objevují pouze v řadiči ingress-nginx z projektu Kubernetes a neovlivňují řadič kubernetes-ingress vyvinutý vývojáři NGINX.
Ingress controller funguje jako brána a používá se v Kubernetes k organizaci přístupu z externí sítě ke službám v rámci clusteru. Řadič ingress-nginx je nejoblíbenější a používá server NGINX k předávání požadavků do clusteru, směrování externích požadavků a vyrovnávání zátěže. Projekt Kubernetes poskytuje základní řadiče ingress pro AWS, GCE a nginx, z nichž druhý v žádném případě nesouvisí s řadičem kubernetes-ingress spravovaným F5/NGINX.
Chyby zabezpečení CVE-2023-5043 a CVE-2023-5044 vám umožňují spouštět váš kód na serveru s právy procesu řadiče přístupu pomocí „nginx.ingress.kubernetes.io/configuration-snippet“ a „nginx.ingress Parametry .kubernetes” nahrazují .io/permanent-redirect." Získaná přístupová práva mimo jiné umožňují načíst token používaný pro autentizaci na úrovni správy clusteru. Chyba zabezpečení CVE-2022-4886 umožňuje obejít ověření cesty k souboru pomocí direktivy log_format.
První dvě chyby zabezpečení se objevují pouze ve vydáních ingress-nginx před verzí 1.9.0 a poslední - před verzí 1.8.0. K provedení útoku musí mít útočník přístup ke konfiguraci vstupního objektu, například v clusterech Kubernetes s více nájemci, ve kterých mají uživatelé možnost vytvářet objekty ve svém jmenném prostoru.
Zdroj: opennet.ru