Projekto „Kubernetes“ sukurtame valdiklyje „ingress-nginx“ buvo nustatyti trys pažeidžiamumai, leidžiantys pagal numatytąją konfigūraciją pasiekti objekto „Ingress“ nustatymus, kuriuose, be kita ko, saugomi prisijungimo prie Kubernetes serverių kredencialai, suteikiantys privilegijuotą prieigą. į klasterį. Problemos atsiranda tik „Kubernetes“ projekto „ingress-nginx“ valdiklyje ir neturi įtakos „kubernetes-ingress“ valdikliui, kurį sukūrė NGINX kūrėjai.
Įėjimo valdiklis veikia kaip šliuzas ir naudojamas Kubernetes prieigai iš išorinio tinklo prie klasterio paslaugų organizuoti. Ingress-nginx valdiklis yra populiariausias ir naudoja NGINX serverį užklausoms persiųsti į klasterį, nukreipti išorines užklausas ir apkrovos balansą. „Kubernetes“ projektas teikia pagrindinius įėjimo valdiklius, skirtus AWS, GCE ir nginx, pastarasis niekaip nesusijęs su F5 / NGINX prižiūrimu kubernetes įėjimo valdikliu.
Pažeidžiamumas CVE-2023-5043 ir CVE-2023-5044 leidžia vykdyti kodą serveryje su įėjimo valdiklio proceso teisėmis, naudojant „nginx.ingress.kubernetes.io/configuration-snippet“ ir „nginx.ingress“ .kubernetes“ parametrus, kad pakeistų jį .io/permanent-redirect“. Be kita ko, gautos prieigos teisės leidžia gauti atpažinimui naudojamą prieigos raktą klasterio valdymo lygiu. Pažeidžiamumas CVE-2022-4886 leidžia apeiti failo kelio patikrinimą naudojant log_format direktyvą.
Pirmieji du pažeidžiamumai atsiranda tik „ingress-nginx“ leidimuose iki 1.9.0 versijos, o paskutinė – iki 1.8.0 versijos. Kad galėtų įvykdyti ataką, užpuolikas turi turėti prieigą prie įėjimo objekto konfigūracijos, pavyzdžiui, kelių nuomininkų Kubernetes klasteriuose, kuriuose vartotojams suteikiama galimybė kurti objektus savo vardų erdvėje.
Šaltinis: opennet.ru