Ingress-nginx haavatavused, mis võimaldavad koodi täitmist ja Kubernetes klastrite juhtimist

Arendatavas Kubernetes ingress-kontrolleri projektis ingress-nginx tuvastati neli haavatavust, mis võimaldavad saavutada oma koodi täitmist pilvesüsteemide serverites, mis kasutavad Kubernetes platvormi, ning saada täielik privileegide juurdepääs Kubernetes klastrile. Probleemidele on antud kriitilise taseme oht (9.8 10-st). Probleemide avastanud uurijad nimetasid haavatavustega seotud koodinimeks IngressNightmare ja märkisid, et haavatavused mõjutavad umbes 43% pilveskeskkondadest. Haavatavused on kõrvaldatud versioonides ingress-nginx 1.11.5 ja 1.12.1.

Ingress-kontroller toimib väravana ja seda kasutatakse Kuberneteses, et korraldada juurdepääsu välisest võrgust klastris asuvatele teenustele. Ingress-nginx kontroller on kõige populaarsem ja rakendab server NGINX edastamiseks päringutele klastrisse, välistest päringutest marsruutimiseks ja koormuse tasandamiseks. Kubernetes projekt pakub põhilisi ingress-kontrollereid AWS, GCE ja nginx, kusjuures viimane ei ole üldse seotud kubernetes-ingress kontrolleriga, mille hooldust teostab F5/NGINX (tuletatud haavatavused ei mõjuta projekte, mida arendavad NGINX arendajad; nginx-i mainimine ingress-nginx nimekirjas on seotud ainult nginx-i kasutamisega proksi).

Haavatavused võimaldavad autentimata ründajal saavutada oma koodi täitmist ingress-nginx kontrolleri kontekstis, saades võimaluse saata päring Admission web-teenusele. Võrgu skaneerimise käigus tuvastati üle 6500 haavatava Kubernetes klastrite, mis kasutavad avalikke haavatavaid kontrollereid avatud Admission käsitsemiseks.

Vaikimisi konfiguratsioonis võib ründaja kood saada juurdepääsu Ingress objekti seadistustele, kus säilitatakse muu hulgas ka tunnused Kubernetes serveritele pääsemiseks, mis võimaldab saavutada privileegitud juurdepääsu kogu klastrile. Kaitse möödaviimiseks soovitatakse keelata ingress-nginx-is "Validating Admission Controller" funktsioon.

Admission kontroller käivitub eraldi pod-ökonoomikas ja kontrollib sissetulevate ingress-objektide valideerimist enne nende juurutamist. Vaikimisi võtab Admission web-teenus vastu autentimata päringud avalikest võrkudest. Kontrollimise käigus loob Admission kontroller nginx http-serveri konfiguratsiooni lähtudes saadud ingress-objekti sisust ja kontrollib selle korrektset.

Tuvastatud haavatavused võimaldavad Nginx-i seadistuste sisestamist, saates spetsiaalselt vormistatud ingress-objekti otse Admissioni kontrollerile. Uurijad on avastanud, et mõned kontrollpäringute omadused, mis on määratud välja „.request.object.annotations”, sisestatakse otse Nginx-i konfiguratsiooni. Generaatoriga loodud konfiguratsioon ei rakendata, vaid testitakse käivitades täitmisfaili „nginx” valikuga „-t”.

Eelkõige toimub välistest andmetest konfiguratsiooni sisestamine parameetritele „mirror-target”, „mirror-host” (CVE-2025-1098), „auth-tls-match-cn” (CVE-2025-1097) ja „auth-url” (CVE-2025-24514). Näiteks konfiguratsioonireas „set $target {{ $externalAuth.URL }};” sisestatakse „{{ $externalAuth.URL }}” asemele URL, mis on määratud parameetris „auth-url”. Samuti ei kontrollita URL-i õigust. Seetõttu võib ründaja edastada URL-i väärtusena näiteks „http://example.com/#; seaded” ja sisestada oma seaded konfiguratsioonifaili.

Juhul, kui on vaja täiendavat koodi Nginx-i konfiguratsiooni kontrollimise käigus käsuga „nginx -t”, kasutasid uurijad seda, et lisaks süntaksikontrollile laadib Nginx spetsiifilisi teeke moodulitelt ning avab konfiguratsioonis nimetatud faile, et hinnata nende kättesaadavust. Muuhulgas, ssl_engine direktiivi töötlemisel laaditakse direktiivis osutatud jagatud teek. SSL-mootori.

Kuna uurijad kasutasid oma teegi üleslaadimiseks Kubernetes'i serverisse (CVE-2025-1974) seda, et Nginx salvestab suuri päringuid töötlemisel päringu sisu ajutisse faili, mis kustutatakse kohe, kuid failisüsteemis „/proc” jääb selle faili jaoks avatud failideskriptor. Seega on võimalik samal ajal saata päringuid ajutise faili salvestamiseks ja konfiguratsiooni kontrollimise algatamiseks, mille direktiivis „ssl_engine” on määratud teed failideskriptorile failisüsteemis „/proc”.

Kuna failikirjeldaja oleks pikemat aega kergesti kättesaadav, saab päringus märkida «Content-Length» väärtuseks teadlikult suurema arvu kui tegelikult edastatud andmed (server ootab ülejäänud andmete saabumist). Täiendavaks keerukuseks on vajadus arvata välja protsessi PID ja failikirjeldaja number, mis on seotud laetud jagatud teegiga, kuid kuna konteineris kasutakse tavaliselt minimaalset arvu käivitatud protsesse, siis vajalikud väärtused arvutatakse mõne katse abil. Edu korral ja laetud asendatud jagatud teegi puhul võib ründaja pääseda ligi pod-keskkonnas salvestatud parameetritele, mis on piisavad kogu klastriga juhtimiseks.

Võrreldes haavatava ingress-nginx-i kasutamise kontrollimiseks saab käivitada käsu: kubectl get pods —all-namespaces —selector app.kubernetes.io/name=ingress-nginx

Allikas: opennet.ru