Kubernetes ingress-kontrolleri ingress-nginx arendatavast projektist leiti neli haavatavust, mis v\u00f5imaldavad k\u00e4ivitada oma koodi pilves\u00fcsteemide serverites, mis kasutavad Kubernetes platvormi, saavutades t\u00e4is privilegeeritud juurdep\u00e4\u00e4su Kubernetes klastri. Probleemidele on m\u00e4\u00e4ratud kriitiline oht (9.8 skaalal 10). Probleeme avastanud teadlased andsid haavatavustele koodnimeks IngressNightmare ja m\u00e4rkisid, et haavatavused m\u00f5jutavad umbes 43% pilveserveritest. Haavatavused on k\u00f5rvaldatud ingress-nginx versionites 1.11.5 ja 1.12.1. <\/p>\n
Ingress-kontroller toimib v\u00e4ravana ja kasutatakse Kuberneteses, et korraldada juurdep\u00e4\u00e4su v\u00e4lisest v\u00f5rgust klastris olevatele teenustele. Kontroller ingress-nginx on k\u00f5ige populaarsem ja rakendab server<\/a> NGINX v\u00e4ljasaatmise suunamiseks klastrisse, v\u00e4liste p\u00e4ringute suunamiseks ja koormuse tasakaalustamiseks. Kubernetes pakub p\u00f5hilisi ingress-kontrollereid AWS-i, GCE ja NGINX jaoks; viimane ei ole seotud kubernetes-ingress kontrolliga, mille hooldust teostab ettev\u00f5te F5\/NIGNX (arutluse all olevad haavatavused ei puuduta projekte, mida arendavad NGINX-i arendajad; NGINX-i mainimine ingress-nginx nime koosneb vaid NGINX-i kasutamisest maatriksina). <\/p>\n Haavatavused v\u00f5imaldavad autentimata r\u00fcndajal saavutada enda koodi t\u00e4itmist ingress-nginx kontrolleri kontekstis, saates p\u00e4ringut Admission web-teenusele. V\u00f5rgu skaneerimise k\u00e4igus tuvastati \u00fcle 6500 haavatava Kubernetes klastri, mis kasutavad avalikult haavatavaid kontrollerid koos Admission teenusega, mis on avatud v\u00e4listest p\u00e4ringutest. <\/p>\n Vaikimisi seadistuses v\u00f5ib r\u00fcndaja k\u00e4ivitatud kood p\u00e4\u00e4seda juurde Ingress objekti seadistustele, kus muu hulgas on salvestatud ka Kubernetes serverite k\u00f5ned, mis v\u00f5imaldab saavutada privileegide taset, mis ulatub kogu klastrini. Kaitseskeemina soovitatakse ingress-nginx'is keelata 'Validating Admission Controller' funktsioon. <\/p>\n Admission Controller k\u00e4ivitatakse eraldi pod-i keskkonnas ja kontrollib sisenevate ingress-objektide korrektset t\u00f6\u00f6tlemist enne nende juurutamist. Vaikimisi v\u00f5tab Admission web-protsessor vastu autentimata p\u00e4ringud avalikest v\u00f5rkudest. Kontroller loob auditi k\u00e4igus nginx http-serveri seadistuse vastavalt saadud ingress-objekti sisule ja kontrollib selle \u00f5igsust. <\/p>\n Tuvastatud haavatavused v\u00f5imaldavad sisestada oma seadistusi nginx'i, saates spetsiaalselt vormistatud ingress-objekti otse Admission kontrollerisse. Uurijad avastasid, et m\u00f5ned omadused, mis on m\u00e4\u00e4ratud .request.object.annotations v\u00e4ljal, sisestatakse otse nginx'i seadistusse. Samas genereeritud seadistus ei rakendata, vaid testitakse exec-faili 'nginx' k\u00e4ivitamisega koos valikuga '-t'. <\/p>\n Eelk\u00f5ige toimub v\u00e4liste andmete sisestamine seadistusse parameetritele 'mirror-target', 'mirror-host' (CVE-2025-1098), 'auth-tls-match-cn' (CVE-2025-1097) ja 'auth-url' (CVE-2025-24514). N\u00e4iteks seadistuse real 'set $target {{ $externalAuth.URL }};' asendatakse '{{ $externalAuth.URL }}' URL-iga, mis on m\u00e4\u00e4ratud 'auth-url' parameetris. Samas ei kontrollita URL-i korrektsust. Seega v\u00f5ib r\u00fcndaja edastada URL-i v\u00e4\u00e4rtuse kujul 'http:\/\/example.com\/#;\nseaded' ja lisada oma seadistused konfiguratsiooni faili. <\/p>\n Koodide t\u00e4itmiseks konfiguratsiooni kontrollimise ajal k\u00e4suga 'nginx -t' kasutasid uurijad seda, et lisaks s\u00fcntaksi kontrollimisele laadib nginx mooduleid ja avab konfiguratsioonis mainitud faile nende k\u00e4ttesaadavuse hindamiseks. Eelk\u00f5ige, ssl_engine direktiivi t\u00f6\u00f6tlemisel toimub m\u00e4\u00e4ratud jagatud raamatukogu laadimine. SSL<\/a>-mootorist. <\/p>\n Uurijad kasutasid (CVE-2025-1974) oma raamatukogu laadimiseks Kubernetes serverisse seda, et nginx t\u00f6\u00f6tleb suuri p\u00e4ringuid, salvestades p\u00e4ringu keha ajutisse faili, mis kohe eemaldatakse, kuid failis\u00fcsteemis '\/proc' j\u00e4\u00e4b selle faili jaoks avatud failik descriptor. Seega saab samaaegselt saata p\u00e4ringud ajutise faili salvestamiseks ja konfiguratsiooni kontrollimise alustamiseks, kus ssl_engine direktiivis on viidatud failik deskriptorile '\/proc'. <\/p>\n Selleks, et failik descriptor p\u00fcsiks pikema aja jooksul k\u00e4ttesaadav, v\u00f5ib 'Content-Length' p\u00e4ringus m\u00e4\u00e4rata teadlikult suuremaks, kui tegelikult edastatud andmed (server ootab \u00fclej\u00e4\u00e4nud andmete vastuv\u00f5tmist). T\u00e4iendavaks keerukuseks on vajadus \u00e4ra arvata protsessi PID ja failik deskriptor, mis on seotud laetud jagatud raamatukoguga, kuid kuna konteineris kasutatakse tavaliselt minimaalset arvu k\u00e4ivitatud protsesse, saadakse vajalikud v\u00e4\u00e4rtused l\u00e4bi mitme katse. Edu korral ja sisestatud jagatud raamatukogu laadimise korral v\u00f5ib r\u00fcndaja p\u00e4\u00e4seda juurde pod-keskkonnas salvestatud parameetritele, mis on piisavad kogu klastriga juhtimiseks.