ភាពងាយរងគ្រោះនៅក្នុង ingress-nginx ដែលអនុញ្ញាតឱ្យក្រុម Kubernetes ត្រូវបានសម្របសម្រួល

នៅក្នុងឧបករណ៍បញ្ជា ingress-nginx ដែលបង្កើតឡើងដោយគម្រោង Kubernetes ភាពងាយរងគ្រោះចំនួនបីត្រូវបានកំណត់អត្តសញ្ញាណដែលអនុញ្ញាតឱ្យចូលប្រើការកំណត់របស់វត្ថុ Ingress ដែលក្នុងនោះផ្ទុកព័ត៌មានសម្ងាត់សម្រាប់ការចូលប្រើម៉ាស៊ីនមេ Kubernetes ដែលអនុញ្ញាតឱ្យចូលប្រើដោយឯកសិទ្ធិ។ ទៅចង្កោម។ បញ្ហាលេចឡើងតែនៅក្នុងឧបករណ៍បញ្ជា ingress-nginx ពីគម្រោង Kubernetes ហើយមិនប៉ះពាល់ដល់ឧបករណ៍បញ្ជា kubernetes-ingress ដែលបង្កើតឡើងដោយអ្នកអភិវឌ្ឍន៍ NGINX ទេ។

ឧបករណ៍បញ្ជា ingress ដើរតួនាទីជាច្រកផ្លូវមួយ ហើយត្រូវបានប្រើនៅក្នុង Kubernetes ដើម្បីរៀបចំការចូលប្រើពីបណ្តាញខាងក្រៅទៅកាន់សេវាកម្មនៅក្នុងចង្កោម។ ឧបករណ៍បញ្ជា ingress-nginx គឺពេញនិយមបំផុត ហើយប្រើម៉ាស៊ីនមេ NGINX ដើម្បីបញ្ជូនសំណើទៅកាន់ចង្កោម បញ្ជូនសំណើខាងក្រៅ និងសមតុល្យផ្ទុក។ គម្រោង Kubernetes ផ្តល់នូវឧបករណ៍បញ្ជាស្នូលសម្រាប់ AWS, GCE និង nginx ដែលក្រោយមកទៀតគឺមិនទាក់ទងនឹងឧបករណ៍បញ្ជា kubernetes-ingress ដែលរក្សាដោយ F5/NGINX នោះទេ។

ភាពងាយរងគ្រោះ CVE-2023-5043 និង CVE-2023-5044 អនុញ្ញាតឱ្យអ្នកប្រតិបត្តិកូដរបស់អ្នកនៅលើម៉ាស៊ីនមេជាមួយនឹងសិទ្ធិនៃដំណើរការឧបករណ៍បញ្ជា ingress ដោយប្រើ "nginx.ingress.kubernetes.io/configuration-snippet" និង "nginx.ingress .kubernetes” ប៉ារ៉ាម៉ែត្រដើម្បីជំនួសវា .io/permanent-redirect ។ ក្នុងចំណោមរបស់ផ្សេងទៀត សិទ្ធិចូលប្រើដែលទទួលបានអនុញ្ញាតឱ្យអ្នកទាញយកនិមិត្តសញ្ញាដែលប្រើសម្រាប់ការផ្ទៀងផ្ទាត់នៅកម្រិតគ្រប់គ្រងចង្កោម។ ភាពងាយរងគ្រោះ CVE-2022-4886 អនុញ្ញាតឱ្យអ្នករំលងការផ្ទៀងផ្ទាត់ផ្លូវឯកសារដោយប្រើការណែនាំ log_format ។

ភាពងាយរងគ្រោះពីរដំបូងលេចឡើងតែនៅក្នុងការចេញផ្សាយ ingress-nginx មុនពេលកំណែ 1.9.0 និងចុងក្រោយ - មុនកំណែ 1.8.0 ។ ដើម្បីអនុវត្តការវាយប្រហារ អ្នកវាយប្រហារត្រូវតែមានសិទ្ធិចូលប្រើការកំណត់រចនាសម្ព័ន្ធនៃវត្ថុ ingress ឧទាហរណ៍នៅក្នុងចង្កោម Kubernetes ពហុភតិកៈ ដែលអ្នកប្រើប្រាស់ត្រូវបានផ្តល់លទ្ធភាពបង្កើតវត្ថុនៅក្នុងចន្លោះឈ្មោះរបស់ពួកគេ។

ប្រភព: opennet.ru