Sisenevate nginx-i haavatavused, mis võivad kompromiteerida Kubernetes klastreid

Kubernetes ingress-kontrolleri ingress-nginx projektis on avastatud kolm haavatavust, mis võimaldavad vaikeseadistuses pääseda Ingress objekti seadistustele, kus hulgas on ka Kubernetes'i serveritega suhtlemiseks vajalikud mandaadid, mis annavad privileege klastrile juurdepääsuks. Probleemid esinevad ainult ingress-nginx ingress-kontrolleris ja ei mõjuta kubernetes-ingress kontrollerit, mille arendavad NGINX'i arendajad.

Ingress-kontroller toimib väravana ja kasutatakse Kuberneteses, et korraldada juurdepääsu välisest võrgust klastris olevatele teenustele. Kontroller ingress-nginx on kõige populaarsem ja rakendab server NGINX mobiilse ühenduse korraldamiseks klastriga, väliste päringute edastamiseks ja koormuse tasakaalu saavutamiseks. Kubernetes'i projekt pakub põhi ingress-kontrollereid AWS, GCE ja nginx jaoks, millest viimane ei ole seotud kubernetes-ingress kontrolleriga, mille haldusega tegeleb F5/NGINX.

Haavatavused CVE-2023-5043 ja CVE-2023-5044 võimaldavad sooritada oma koodi serveril ingress-kontrolleri protsessi õigustes, kasutades selle sisestamiseks parameetreid „nginx.ingress.kubernetes.io/configuration-snippet” ja „nginx.ingress.kubernetes.io/permanent-redirect”. Saadud õigused võimaldavad muuhulgas välja võtta tokeni, mida kasutatakse klastrihalduse autentimiseks. Haavatavus CVE-2022-4886 võimaldab juhtida faili teed, kasutades direktiivi log_format.

Esimene kaks haavatavust esinevad ainult ingress-nginx versioonides enne 1.9.0 ja viimane versioonis enne 1.8.0. Rünnaku teostamiseks peab ründaja omama juurdepääsu ingress-objekti konfiguratsioonile, näiteks mitme kasutajaga Kubernetes'i klastrites, kus kasutajatele antakse võimalus luua objekte oma nimepruukides.

Allikas: opennet.ru