\u00cen proiectul \u00een dezvoltare Kubernetes ingress-controller ingress-nginx au fost identificate patru vulnerabilit\u0103\u021bi care permit executarea de cod pe serverele sistemelor cloud care utilizeaz\u0103 platforma Kubernetes \u0219i ob\u021binerea unui acces complet privilegiat la clusterul Kubernetes. Aceste probleme au fost clasificate cu un nivel critic de pericol (9.8 din 10). Cercet\u0103torii care au descoperit problemele au atribuit vulnerabilit\u0103\u021bilor numele de cod IngressNightmare \u0219i au subliniat c\u0103 acestea afecteaz\u0103 aproximativ 43% din medii cloud. Vulnerabilit\u0103\u021bile au fost remediate \u00een versiunile ingress-nginx 1.11.5 \u0219i 1.12.1. <\/p>\n
Ingress-controller-ul func\u021bioneaz\u0103 ca un gateway \u0219i este folosit \u00een Kubernetes pentru a organiza accesul din re\u021beaua extern\u0103 la serviciile din interiorul cluster-ului. Controller-ul ingress-nginx este cel mai popular \u0219i utilizeaz\u0103 serverul<\/a> NGINX pentru redirec\u021bionarea apelurilor c\u0103tre cluster, rutarea solicit\u0103rilor externe \u0219i realizarea echilibr\u0103rii \u00eenc\u0103rc\u0103turii. Proiectul Kubernetes ofer\u0103 controlere ingress de baz\u0103 pentru AWS, GCE \u0219i nginx, acesta din urm\u0103 nefiind legat de controller-ul kubernetes-ingress, \u00eentre\u021binerea c\u0103ruia este gestionat\u0103 de compania F5\/NGINX (vulnerabilit\u0103\u021bile men\u021bionate nu afecteaz\u0103 proiectele dezvoltate de dezvoltatorii NGINX, men\u021bionarea nginx \u00een numele ingress-nginx fiind legat\u0103 doar de utilizarea nginx ca proxy). <\/p>\n Vulnerabilit\u0103\u021bile permit unui atacator neautentificat s\u0103 execute codul s\u0103u \u00een contextul controller-ului ingress-nginx, av\u00e2nd posibilitatea de a trimite o solicitare c\u0103tre procesorul web Admission. \u00cen urma scan\u0103rii re\u021belei, au fost identificate peste 6500 de clustere Kubernetes vulnerabile care folosesc controlere vulnerabile publice cu procesorul Admission deschis pentru solicit\u0103ri externe. <\/p>\n \u00cen configura\u021bia implicit\u0103, codul lansat de atacatori poate accesa set\u0103rile obiectului Ingress, care, printre altele, con\u021bin \u0219i datele de autentificare pentru a accesa serverele Kubernetes, ceea ce permite ob\u021binerea accesului privilegiat la \u00eentregul cluster. Ca o m\u0103sur\u0103 de protec\u021bie, se recomand\u0103 dezactivarea func\u021biei \u201eValidating Admission Controller\u201d \u00een ingress-nginx. <\/p>\n Controller-ul Admission ruleaz\u0103 \u00eentr-un mediu pod separat \u0219i efectueaz\u0103 opera\u021biunea de verificare a obiectelor ingress care intr\u0103 \u00eenainte de desf\u0103\u0219urarea lor. \u00cen mod implicit, procesorul web Admission accept\u0103 solicit\u0103ri f\u0103r\u0103 autentificare din re\u021beaua public\u0103. La efectuarea verific\u0103rii, controller-ul Admission creeaz\u0103 o configura\u021bie pentru serverul http nginx pe baza con\u021binutului obiectului ingress primit \u0219i \u00eei verific\u0103 corectitudinea. <\/p>\n Vulnerabilit\u0103\u021bile identificate permit substituirea propriilor set\u0103ri \u00een nginx prin trimiterea unui obiect ingress special format direct c\u0103tre controlerul Admission. Cercet\u0103torii au descoperit c\u0103 anumite propriet\u0103\u021bi din cererile de validare, plasate \u00een c\u00e2mpul \u201e.request.object.annotations\u201d, sunt direct \u00eencorporate \u00een configura\u021bia nginx. \u00cen acest caz, configura\u021bia generat\u0103 nu este aplicat\u0103, ci doar testat\u0103 prin rularea fi\u0219ierului executabil \u201enginx\u201d cu op\u021biunea \u201e-t\u201d. <\/p>\n \u00cen special, substituirea datelor externe \u00een configura\u021bie se realizeaz\u0103 pentru parametrii \u201emirror-target\u201d, \u201emirror-host\u201d (CVE-2025-1098), \u201eauth-tls-match-cn\u201d (CVE-2025-1097) \u0219i \u201eauth-url\u201d (CVE-2025-24514). De exemplu, \u00een linia de configura\u021bie \u201eset $target {{ $externalAuth.URL }};\u201d, \u00een loc de \u201e{{ $externalAuth.URL }}\u201d este \u00eenlocuit cu URL-ul specificat \u00een parametrul \u201eauth-url\u201d. Cu toate acestea, corectitudinea URL-ului nu este verificat\u0103. Prin urmare, un atacator poate transmite ca URL o valoare de forma \u201ehttp:\/\/example.com\/#;\nset\u0103ri\u201d \u0219i poate substitui propriile set\u0103ri \u00een fi\u0219ierul de configura\u021bie. <\/p>\n Pentru a executa cod arbitrar \u00een timpul verific\u0103rii configura\u021biei cu comanda \u201enginx -t\u201d, cercet\u0103torii au profitat de faptul c\u0103, pe l\u00e2ng\u0103 verificarea sintaxei, nginx \u00eencarc\u0103 biblioteci cu module \u0219i deschide fi\u0219ierele men\u021bionate \u00een configura\u021bie pentru a evalua disponibilitatea acestora. Printre altele, \u00een timpul proces\u0103rii directivei ssl_engine are loc \u00eenc\u0103rcarea bibliotecii partajate specificate \u00een directiv\u0103. SSL<\/a>-motor. <\/p>\n Pentru a \u00eenc\u0103rca biblioteca sa pe serverul Kubernetes, cercet\u0103torii au folosit (CVE-2025-1974) faptul c\u0103, \u00een timpul prelucr\u0103rii cererilor mari, nginx salveaz\u0103 corpul cererii \u00eentr-un fi\u0219ier temporar, care este imediat \u0219ters, dar \u00een sistemul de fi\u0219iere \u00ab\/proc\u00bb r\u0103m\u00e2ne un descriptor de fi\u0219ier deschis pentru acest fi\u0219ier. Astfel, este posibil s\u0103 se trimit\u0103 simultan cereri pentru salvarea fi\u0219ierului temporar \u0219i ini\u021bierea verific\u0103rii configura\u021biei, \u00een care \u00een directiva \u00abssl_engine\u00bb este specificat calea c\u0103tre descriptorul din sistemul de fi\u0219iere \u00ab\/proc\u00bb. <\/p>\n Pentru ca descriptorul de fi\u0219ier s\u0103 r\u0103m\u00e2n\u0103 accesibil o perioad\u0103 lung\u0103 de timp, valoarea \u00abContent-Length\u00bb din cerere poate fi specificat\u0103 ca fiind deliberat mai mare dec\u00e2t datele transmise efectiv (serverul va a\u0219tepta primirea datelor r\u0103mase). O complexitate suplimentar\u0103 este necesitatea de a ghici PID-ul procesului \u0219i num\u0103rul descriptorului de fi\u0219ier asociat cu biblioteca partajat\u0103 \u00eenc\u0103rcat\u0103, dar, deoarece \u00een container de obicei sunt folosite un num\u0103r minim de procese active, valorile necesare sunt ghicite prin \u00eencercare \u0219i eroare. \u00cen caz de succes \u0219i \u00eenc\u0103rcarea bibliotecii partajate furnizate, atacatorul poate ob\u021bine acces la parametrii stoca\u021bi \u00een interiorul mediului pod, suficien\u021bi pentru a controla \u00eentregul cluster.