Ingress-nginx haavatavused, mis võimaldavad Kubernetese klastreid kompromiteerida

Arendatavas Kubernetese ingress-kontrolleris ingress-nginx on tuvastatud kolm haavatavust, mis võimaldavad vaikeseadistuses ligipääsu Ingress objekti seadistustele, kus säilitatakse muu hulgas ka Kubernetese serverite juurdepääsuks vajalikud mandaadid, mis võimaldavad privileege saada klastrisse. Probleemid ilmnevad ainult Kubernetese ingress-kontrolleris ingress-nginx ja ei puuduta kubernetes-ingress kontrollerit, mille arendavad NGINX arendajad.

Ingress-kontroller toimib väravana ja seda kasutatakse Kuberneteses, et korraldada juurdepääsu välisest võrgust klastris asuvatele teenustele. Ingress-nginx kontroller on kõige populaarsem ja rakendab server NGINX-i klastrisse suunatud päringute edastamiseks, väliste päringute suunamiseks ja koormuse jaotamiseks. Kubernetese projekt pakub põhihingeldusi AWS, GCE ja nginx jaoks, viimane neist ei ole kuidagi seotud kubernetes-ingress kontrolleri toetamisega, millega tegeleb F5 / NGINX.

Haavatavused CVE-2023-5043 ja CVE-2023-5044 võimaldavad jooksutada oma koodi serveris ingress-kontrolleri protsessi õigustes, kasutades selle sisestamiseks parameetreid „nginx.ingress.kubernetes.io / configuration-snippet“ ja „nginx.ingress.kubernetes.io / permanent-redirect“. Muuhulgas võimaldavad saadud juurdepääsõigused välja tuua tokeni, mida kasutatakse klastrihalduse tasemel autentimiseks. Haavatavus CVE-2022-4886 võimaldab ümbersuunamisreklaami log_format direktiivi abil kontrollida failiteid.

Kaks esimest haavatavust ilmnevad ainult ingress-nginx versioonide 1.9.0 ja varasemate väljaannete puhul, viimane aga kuni versioonini 1.8.0. Rünnaku läbiviimiseks peab ründaja omama juurdepääsu ingress-objekti seadetele, näiteks mitme kasutajaga Kubernetese klastrites, kus kasutajatele on antud võimalus luua objekte oma nimespetsiifil.

Allikas: opennet.ru