Im sich entwickelnden Kubernetes-Ingress-Controller ingress-nginx wurden vier Schwachstellen entdeckt, die es erm\u00f6glichen, eigenen Code auf den Servern von Cloud-Systemen, die die Kubernetes-Plattform verwenden, auszuf\u00fchren und vollen privilegierten Zugriff auf das Kubernetes-Cluster zu erhalten. Den Problemen wurde ein kritisches Gefahrenlevel (9,8 von 10) zugewiesen. Die entdeckenden Forscher gaben den Schwachstellen den Code-Namen IngressNightmare und bemerkten, dass etwa 43 % der Cloud-Umgebungen betroffen sind. Die Schwachstellen wurden in den Versionen ingress-nginx 1.11.5 und 1.12.1 behoben. <\/p>\n
Der Ingress-Controller fungiert als Gateway und wird in Kubernetes verwendet, um den Zugriff aus dem externen Netzwerk auf die Dienste innerhalb des Clusters zu organisieren. Der ingress-nginx-Controller ist der beliebteste und setzt der Server<\/a> NGINX wird verwendet, um Anfragen an das Cluster weiterzuleiten, externe Anfragen zu routen und die Last zu balancieren. Das Kubernetes-Projekt stellt grundlegende Ingress-Controller f\u00fcr AWS, GCE und nginx zur Verf\u00fcgung, wobei letzterer nicht mit dem kubernetes-ingress-Controller verbunden ist, dessen Wartung von der Firma F5\/NGINX durchgef\u00fchrt wird (die besprochenen Schwachstellen betreffen nicht die von den Entwicklern von NGINX entwickelten Projekte; die Erw\u00e4hnung von nginx im Namen ingress-nginx steht lediglich im Zusammenhang mit der Verwendung von nginx als Proxy). <\/p>\n Sicherheitsanf\u00e4lligkeiten erm\u00f6glichen es einem nicht authentifizierten Angreifer, seinen Code im Kontext des ingress-nginx-Controllers auszuf\u00fchren und dabei eine Anfrage an den Admission-Web-Handler zu senden. W\u00e4hrend der Netzwerkscans wurden \u00fcber 6500 anf\u00e4llige Kubernetes-Cluster identifiziert, die \u00f6ffentliche, verwundbare Controller mit einem f\u00fcr externe Anfragen offenen Admission-Handler verwenden. <\/p>\n In der Standardkonfiguration kann der von einem Angreifer initiierte Code auf die Einstellungen des Ingress-Objekts zugreifen, in denen unter anderem auch die Anmeldeinformationen f\u00fcr den Zugriff auf Kubernetes-Server gespeichert sind. Dies erm\u00f6glicht privilegierten Zugriff auf den gesamten Cluster. Als Umgehungsschutz wird empfohlen, die Funktion \u201eValidating Admission Controller\u201c in ingress-nginx zu deaktivieren. <\/p>\n Der Admission-Controller wird in einer separaten Pod-Umgebung ausgef\u00fchrt und f\u00fchrt die \u00dcberpr\u00fcfung der eingehenden Ingress-Objekte vor deren Bereitstellung durch. Standardm\u00e4\u00dfig akzeptiert der Admission-Web-Handler Anfragen ohne Authentifizierung aus dem \u00f6ffentlichen Netzwerk. Bei der \u00dcberpr\u00fcfung erstellt der Admission-Controller eine Konfiguration f\u00fcr den HTTP-Server nginx basierend auf dem Inhalt des erhaltenen Ingress-Objekts und \u00fcberpr\u00fcft deren Richtigkeit. <\/p>\n Die identifizierten Sicherheitsanf\u00e4lligkeiten erm\u00f6glichen das Einf\u00fcgen eigener Einstellungen in nginx durch das Senden eines speziell formatierten Ingress-Objekts direkt an den Admission-Controller. Forscher haben festgestellt, dass bestimmte Eigenschaften der \u00dcberpr\u00fcfungsanfragen, die im Feld \u201e.request.object.annotations\u201c angegeben sind, direkt in die nginx-Konfiguration eingef\u00fcgt werden. Die generierte Konfiguration wird dabei nicht angewendet, sondern nur getestet, indem die ausf\u00fchrbare Datei \u201enginx\u201c mit der Option \u201e-t\u201c gestartet wird. <\/p>\n Insbesondere wird das Einf\u00fcgen externer Daten in die Konfiguration f\u00fcr die Parameter \u201emirror-target\u201c, \u201emirror-host\u201c (CVE-2025-1098), \u201eauth-tls-match-cn\u201c (CVE-2025-1097) und \u201eauth-url\u201c (CVE-2025-24514) durchgef\u00fchrt. Beispielsweise wird in der Konfigurationszeile \u201eset $target {{ $externalAuth.URL }};\u201c anstelle von \u201e{{ $externalAuth.URL }}\u201c die im Parameter \u201eauth-url\u201c angegebene URL eingesetzt, wobei die G\u00fcltigkeit der URL nicht \u00fcberpr\u00fcft wird. Folglich kann ein Angreifer eine URL wie \u201ehttp:\/\/example.com\/#;\nEinstellungen\u201c \u00fcbergeben und seine Einstellungen in die Konfigurationsdatei einf\u00fcgen. <\/p>\n Um beliebigen Code w\u00e4hrend der \u00dcberpr\u00fcfung der Konfiguration mit dem Befehl \u201enginx -t\u201c auszuf\u00fchren, nutzten die Forscher aus, dass nginx neben der Syntax\u00fcberpr\u00fcfung Bibliotheken mit Modulen l\u00e4dt und Dateien, die in der Konfiguration erw\u00e4hnt werden, \u00f6ffnet, um deren Verf\u00fcgbarkeit zu bewerten. Unter anderem wird bei der Verarbeitung der Direktive ssl_engine die in der Direktive angegebene Shared Library geladen. SSL<\/a>-den Engine. <\/p>\n Um ihre Bibliothek auf den Kubernetes-Server zu laden, nutzten die Forscher (CVE-2025-1974) aus, dass nginx bei der Verarbeitung gro\u00dfer Anfragen den Anfragek\u00f6rper in einer tempor\u00e4ren Datei speichert, die sofort gel\u00f6scht wird. In der Dateisystemstruktur \u201e\/proc\u201c bleibt jedoch f\u00fcr diese Datei ein offener Dateideskriptor zur\u00fcck. So k\u00f6nnen gleichzeitig Anfragen gesendet werden, um die tempor\u00e4re Datei zu speichern und eine Konfigurations\u00fcberpr\u00fcfung zu initiieren, in der in der Direktive \u201essl_engine\u201c der Pfad zu dem Deskriptor im Dateisystem \u201e\/proc\u201c angegeben ist. <\/p>\n Damit der Dateideskriptor lange genug verf\u00fcgbar bleibt, kann der Wert \u201eContent-Length\u201c in der Anfrage absichtlich gr\u00f6\u00dfer angegeben werden als die tats\u00e4chlich \u00fcbermittelten Daten (der Server wird auf die verbleibenden Daten warten). Eine zus\u00e4tzliche Herausforderung besteht darin, die PID des Prozesses und die Nummer des Dateideskriptor, der mit der geladenen Shared Library verbunden ist, zu erraten. Da in Containern normalerweise eine minimale Anzahl von Prozessen ausgef\u00fchrt wird, k\u00f6nnen die ben\u00f6tigten Werte durch Ausprobieren ermittelt werden. Bei Erfolg und dem Laden der eingef\u00fcgten Shared Library kann der Angreifer auf die im Pod-Umfeld gespeicherten Parameter zugreifen, die ausreichen, um den gesamten Cluster zu steuern.