Fil-kontrollur ingress-nginx żviluppat mill-proġett Kubernetes, ġew identifikati tliet vulnerabbiltajiet li jippermettu, fil-konfigurazzjoni default, aċċess għas-settings tal-oġġett Ingress, li, fost affarijiet oħra, jaħżen kredenzjali għall-aċċess għas-servers Kubernetes, li jippermetti aċċess privileġġjat lill-cluster. Il-problemi jidhru biss fil-kontrollur ingress-nginx mill-proġett Kubernetes u ma jaffettwawx il-kontrollur kubernetes-ingress żviluppat mill-iżviluppaturi NGINX.
Il-kontrollur tad-dħul jaġixxi bħala portal u jintuża f'Kubernetes biex jorganizza l-aċċess min-netwerk estern għas-servizzi fi ħdan il-cluster. Il-kontrollur ingress-nginx huwa l-aktar popolari u juża s-server NGINX biex jgħaddi t-talbiet lill-cluster, ir-rotta talbiet esterni, u l-bilanċ tat-tagħbija. Il-proġett Kubernetes jipprovdi kontrolluri tad-dħul ewlenin għal AWS, GCE, u nginx, li l-aħħar minnhom bl-ebda mod mhu relatat mal-kontrollur tad-dħul kubernetes miżmum minn F5/NGINX.
Il-vulnerabbiltajiet CVE-2023-5043 u CVE-2023-5044 jippermettulek tesegwixxi l-kodiċi tiegħek fuq is-server bid-drittijiet tal-proċess tal-kontrollur tad-dħul, billi tuża “nginx.ingress.kubernetes.io/configuration-snippet” u “nginx.ingress”. .kubernetes” parametri biex jissostitwixxuh .io/permanent-redirect." Fost affarijiet oħra, id-drittijiet tal-aċċess miksuba jippermettulek li tirkupra token użat għall-awtentikazzjoni fil-livell tal-ġestjoni tal-clusters. Il-vulnerabbiltà CVE-2022-4886 tippermettilek tevita l-verifika tal-passaġġ tal-fajl billi tuża d-direttiva log_format.
L-ewwel żewġ vulnerabbiltajiet jidhru biss fir-rilaxxi ingress-nginx qabel il-verżjoni 1.9.0, u l-aħħar waħda - qabel il-verżjoni 1.8.0. Biex iwettaq attakk, attakkant irid ikollu aċċess għall-konfigurazzjoni tal-oġġett tad-dħul, pereżempju, fi clusters Kubernetes b'ħafna kerrejja, li fihom l-utenti jingħataw il-kapaċità li joħolqu oġġetti fl-ispazju tal-isem tagħhom.
Sors: opennet.ru