ingress-nginx માં નબળાઈઓ કે જે કુબરનેટ્સ ક્લસ્ટરો સાથે ચેડા કરવાની મંજૂરી આપે છે

કુબરનેટસ પ્રોજેક્ટ દ્વારા વિકસાવવામાં આવેલ ઇન્ગ્રેસ-nginx નિયંત્રકમાં, ત્રણ નબળાઈઓ ઓળખવામાં આવી છે જે, ડિફોલ્ટ રૂપરેખાંકનમાં, ઇન્ગ્રેસ ઑબ્જેક્ટની સેટિંગ્સને ઍક્સેસ કરવાની મંજૂરી આપે છે, જે અન્ય વસ્તુઓની સાથે, કુબરનેટ્સ સર્વર્સને ઍક્સેસ કરવા માટે ઓળખપત્રો સંગ્રહિત કરે છે, વિશેષાધિકૃત ઍક્સેસની મંજૂરી આપે છે. ક્લસ્ટર માટે. સમસ્યાઓ ફક્ત કુબરનેટ્સ પ્રોજેક્ટના ઇન્ગ્રેસ-એનજીન્ક્સ કંટ્રોલરમાં જ દેખાય છે અને એનજીઆઈએનએક્સ ડેવલપર્સ દ્વારા વિકસિત કુબરનેટ્સ-ઇન્ગ્રેસ કંટ્રોલરને અસર કરતી નથી.

પ્રવેશ નિયંત્રક ગેટવે તરીકે કાર્ય કરે છે અને તેનો ઉપયોગ ક્લસ્ટરની અંદરની સેવાઓ માટે બાહ્ય નેટવર્કથી ઍક્સેસ ગોઠવવા માટે કુબરનેટ્સમાં થાય છે. ઇન્ગ્રેસ-nginx નિયંત્રક સૌથી વધુ લોકપ્રિય છે અને ક્લસ્ટર પર વિનંતીઓ ફોરવર્ડ કરવા, બાહ્ય વિનંતીઓ અને લોડ બેલેન્સને રૂટ કરવા માટે NGINX સર્વરનો ઉપયોગ કરે છે. કુબરનેટ્સ પ્રોજેક્ટ AWS, GCE અને nginx માટે કોર ઇન્ગ્રેસ કંટ્રોલર પૂરા પાડે છે, જેમાંથી બાદમાં F5/NGINX દ્વારા જાળવવામાં આવતા kubernetes-ઇન્ગ્રેસ કંટ્રોલર સાથે કોઈ રીતે સંબંધિત નથી.

નબળાઈઓ CVE-2023-5043 અને CVE-2023-5044 તમને "nginx.ingress.kubernetes.io/configuration-snippet" અને "nginx.ingress" નો ઉપયોગ કરીને પ્રવેશ નિયંત્રક પ્રક્રિયાના અધિકારો સાથે સર્વર પર તમારો કોડ ચલાવવાની મંજૂરી આપે છે. .io/permanent-redirect ને બદલવા માટે .kubernetes" પરિમાણો." અન્ય વસ્તુઓની સાથે, પ્રાપ્ત ઍક્સેસ અધિકારો તમને ક્લસ્ટર મેનેજમેન્ટ સ્તરે પ્રમાણીકરણ માટે ઉપયોગમાં લેવાતા ટોકનને પુનઃપ્રાપ્ત કરવાની મંજૂરી આપે છે. નબળાઈ CVE-2022-4886 તમને log_format ડાયરેક્ટિવનો ઉપયોગ કરીને ફાઇલ પાથની ચકાસણીને બાયપાસ કરવાની મંજૂરી આપે છે.

પ્રથમ બે નબળાઈઓ ફક્ત આવૃત્તિ 1.9.0 પહેલાના પ્રવેશ-nginx પ્રકાશનમાં દેખાય છે, અને છેલ્લી એક - આવૃત્તિ 1.8.0 પહેલા. હુમલો કરવા માટે, હુમલાખોરને ઇન્ગ્રેસ ઑબ્જેક્ટના રૂપરેખાંકનની ઍક્સેસ હોવી આવશ્યક છે, ઉદાહરણ તરીકે, મલ્ટિ-ટેનન્ટ કુબરનેટ્સ ક્લસ્ટર્સમાં, જેમાં વપરાશકર્તાઓને તેમના નેમસ્પેસમાં ઑબ્જેક્ટ્સ બનાવવાની ક્ષમતા આપવામાં આવે છે.

સોર્સ: opennet.ru