Sicherheitsanfälligkeiten in ingress-nginx, die Cluster von Kubernetes gefährden können

Im entwickelten Kubernetes Ingress-Controller ingress-nginx wurden drei Sicherheitsanfälligkeiten identifiziert, die im Standardkonfigurationsmodus den Zugriff auf die Einstellungen des Ingress-Objekts ermöglichen, in denen unter anderem auch Anmeldedaten für den Zugriff auf die Kubernetes-Server gespeichert sind, die privilegierten Zugriff auf den Cluster erlauben. Die Probleme treten nur im ingress-nginx Controller des Kubernetes-Projekts auf und betreffen nicht den kubernetes-ingress Controller, der von den Entwicklern von NGINX weiterentwickelt wird.

Der Ingress-Controller fungiert als Gateway und wird in Kubernetes verwendet, um den Zugriff aus dem externen Netzwerk auf die Dienste innerhalb des Clusters zu organisieren. Der Controller ingress-nginx ist der am weitesten verbreitete und verwendet Server NGINX zur Organisation des Datenverkehrs zum Cluster, zur Routing externer Anfragen und zur Lastverteilung. Das Kubernetes-Projekt bietet grundlegende Ingress-Controller für AWS, GCE und nginx an, wobei letzterer nicht mit dem kubernetes-ingress Controller in Verbindung steht, dessen Unterstützung von der Firma F5/NGINX übernommen wird.

Die Sicherheitsanfälligkeiten CVE-2023-5043 und CVE-2023-5044 ermöglichen das Ausführen eigenen Codes mit Server den Rechten des Ingress-Controllers, indem die Parameter „nginx.ingress.kubernetes.io/configuration-snippet“ und „nginx.ingress.kubernetes.io/permanent-redirect“ zur Ersetzung verwendet werden. Unter anderem erlauben die erlangten Berechtigungen das Extrahieren eines Tokens, das zur Authentifizierung auf der Verwaltungsebene des Clusters verwendet wird. Die Sicherheitsanfälligkeit CVE-2022-4886 ermöglicht das Umgehen der Pfadüberprüfung mithilfe der Direktive log_format.

Die ersten beiden Sicherheitsanfälligkeiten treten nur in Versionen des ingress-nginx bis 1.9.0 auf, während die letzte bis Version 1.8.0 auftritt. Um einen Angriff durchzuführen, muss der Angreifer Zugriff auf die Konfiguration des Ingress-Objekts haben, beispielsweise in Multi-User-Kubernetes-Clustern, in denen Benutzern die Möglichkeit eingeräumt wird, Objekte in ihrem eigenen Namensraum zu erstellen.

Quelle: opennet.ru