V rozv\u00edjaj\u00facom sa projekte Kubernetes ingress-kontrol\u00e9ra ingress-nginx boli zisten\u00e9 \u0161tyri zranite\u013enosti, ktor\u00e9 umo\u017e\u0148uj\u00fa dosiahnu\u0165 vykonanie vlastn\u00e9ho k\u00f3du na serveroch cloudov\u00fdch syst\u00e9mov pou\u017e\u00edvaj\u00facich platformu Kubernetes a z\u00edska\u0165 pln\u00fd privil\u00e9giovan\u00fd pr\u00edstup k klastru Kubernetes. Probl\u00e9mom bola priraden\u00e1 kritick\u00e1 \u00farove\u0148 nebezpe\u010denstva (9.8 z 10). V\u00fdskumn\u00edci, ktor\u00ed zistili probl\u00e9my, priradili zranite\u013enostiam k\u00f3dov\u00e9 meno IngressNightmare a uviedli, \u017ee zranite\u013enosti sa dot\u00fdkaj\u00fa pribli\u017ene 43% cloudov\u00fdch prostred\u00ed. Zranite\u013enosti boli odstr\u00e1nen\u00e9 vo verzi\u00e1ch ingress-nginx 1.11.5 a 1.12.1. <\/p>\n
Ingress-kontrol\u00e9r sl\u00fa\u017ei ako br\u00e1na a pou\u017e\u00edva sa v Kubernetes na organiz\u00e1ciu pr\u00edstupu z vonkaj\u0161ej siete k slu\u017eb\u00e1m v r\u00e1mci klastru. Kontrol\u00e9r ingress-nginx je najpopul\u00e1rnej\u0161\u00ed a vyu\u017e\u00edva server<\/a> NGINX na spracovanie po\u017eiadaviek na klaster, smerovanie vonkaj\u0161\u00edch po\u017eiadaviek a vyva\u017eovanie z\u00e1\u0165a\u017ee. Projekt Kubernetes poskytuje z\u00e1kladn\u00e9 ingress-kontrol\u00e9ry pre AWS, GCE a nginx, pri\u010dom posledn\u00fd z nich nie je nijako spojen\u00fd s kontrol\u00e9rom kubernetes-ingress, ktor\u00e9ho spr\u00e1vu vykon\u00e1va spolo\u010dnos\u0165 F5\/NGINX (zva\u017eovan\u00e9 zranite\u013enosti sa net\u00fdkaj\u00fa projektov vyv\u00edjan\u00fdch v\u00fdvoj\u00e1rmi NGINX, zmienka nginx v n\u00e1zve ingress-nginx s\u00favis\u00ed len so zapojen\u00edm nginx ako proxy). <\/p>\n Zranite\u013enosti umo\u017e\u0148uj\u00fa neopr\u00e1vnen\u00e9mu \u00fato\u010dn\u00edkovi dosiahnu\u0165 vykonanie vlastn\u00e9ho k\u00f3du v kontexte kontrol\u00e9ra ingress-nginx, ak m\u00e1 mo\u017enos\u0165 odosla\u0165 po\u017eiadavku na web-spracovate\u013ea Admission. Po\u010das skenovania siete bolo identifikovan\u00fdch viac ako 6500 zranite\u013en\u00fdch klastrov Kubernetes pou\u017e\u00edvaj\u00facich verejne zranite\u013en\u00e9 kontrol\u00e9ry s otvoren\u00fdm pre vonkaj\u0161ie po\u017eiadavky spracovate\u013eom Admission. <\/p>\n V predvolenom nastaven\u00ed m\u00f4\u017ee spusten\u00fd k\u00f3d \u00fato\u010dn\u00edka z\u00edska\u0165 pr\u00edstup k nastaveniam objektu Ingress, v ktor\u00fdch sa, mimo in\u00e9ho, uchov\u00e1vaj\u00fa aj poverenia na pr\u00edstup k serverom Kubernetes, \u010do umo\u017e\u0148uje z\u00edska\u0165 privilegovan\u00fd pr\u00edstup k cel\u00e9mu klasturu. Ako obch\u00e1dzkov\u00e1 cesta ochrany sa odpor\u00fa\u010da v ingress-nginx vypn\u00fa\u0165 funkciu \u201eValidating Admission Controller\u201c. <\/p>\n Admission controller sa sp\u00fa\u0161\u0165a v samostatnom pod- prostred\u00ed a vykon\u00e1va oper\u00e1ciu kontroly prich\u00e1dzaj\u00facich ingress objektov pred ich nasaden\u00edm. Predvolen\u00fd webov\u00fd spracovate\u013e Admission akceptuje po\u017eiadavky bez autentifik\u00e1cie z verejnej siete. Po\u010das kontroly Admission controller vytv\u00e1ra konfigur\u00e1ciu pre http server nginx na z\u00e1klade obsahu prijat\u00e9ho ingress objektu a kontroluje jej spr\u00e1vnos\u0165. <\/p>\n Zisten\u00e9 zranite\u013enosti umo\u017e\u0148uj\u00fa vklada\u0165 vlastn\u00e9 nastavenia do nginx prostredn\u00edctvom odoslania \u0161peci\u00e1lne form\u00e1tovan\u00e9ho ingress-objektu priamo do Admission controllera. V\u00fdskumn\u00edci objavili, \u017ee niektor\u00e9 vlastnosti kontroln\u00fdch po\u017eiadaviek, zadan\u00e9 v poli \u201e.request.object.annotations\u201c, s\u00fa priamo vlo\u017een\u00e9 do konfigur\u00e1cie nginx. Pri tom generovan\u00e1 konfigur\u00e1cia nie je aplikovan\u00e1, ale iba testovan\u00e1 spusten\u00edm vykon\u00e1vacieho s\u00faboru \u201enginx\u201c s mo\u017enos\u0165ou \u201e-t\u201c. <\/p>\n Konkr\u00e9tne sa vkladanie extern\u00fdch \u00fadajov do konfigur\u00e1cie vykon\u00e1va pre parametre \u201emirror-target\u201c, \u201emirror-host\u201c (CVE-2025-1098), \u201eauth-tls-match-cn\u201c (CVE-2025-1097) a \u201eauth-url\u201c (CVE-2025-24514). Napr\u00edklad v riadku konfigur\u00e1cie \u201eset $target {{ $externalAuth.URL }};\u201c sa namiesto \u201e{{ $externalAuth.URL }}\u201c vlo\u017e\u00ed URL, zadan\u00e9 v parametri \u201eauth-url\u201c. Pri tom sa neoveruje platnos\u0165 URL. Teda, \u00fato\u010dn\u00edk m\u00f4\u017ee zada\u0165 ako URL hodnotu typu \u201ehttp:\/\/example.com\/#;\nnastavenia\u201c a vlo\u017ei\u0165 svoje nastavenia do konfigura\u010dn\u00e9ho s\u00faboru. <\/p>\n Na vykonanie \u013eubovo\u013en\u00e9ho k\u00f3du po\u010das overovania konfigur\u00e1cie pr\u00edkazom \u201enginx -t\u201c v\u00fdskumn\u00edci vyu\u017eili to, \u017ee okrem kontroly syntaxe nginx na\u010d\u00edtava kni\u017enice s modulmi a otv\u00e1ra s\u00fabory uveden\u00e9 v konfigur\u00e1cii na pos\u00fadenie ich dostupnosti. Medzi in\u00fdm, pri spracovan\u00ed direkt\u00edvy ssl_engine sa na\u010d\u00edtava zdie\u013ean\u00e1 kni\u017enica uveden\u00e1 v direkt\u00edve pre SSL<\/a>-motor. <\/p>\n Na nahranie svojej kni\u017enice na server Kubernetes v\u00fdskumn\u00edci vyu\u017eili (CVE-2025-1974) fakt, \u017ee pri spracovan\u00ed ve\u013ek\u00fdch po\u017eiadaviek nginx uchov\u00e1va telo po\u017eiadavky v do\u010dasnom s\u00fabore, ktor\u00fd sa okam\u017eite vymaz\u00e1va, ale v s\u00faborovom syst\u00e9me zost\u00e1va otvoren\u00fd s\u00faborov\u00fd deskriptor. Takto je mo\u017en\u00e9 s\u00fa\u010dasne odosiela\u0165 po\u017eiadavky na uchovanie do\u010dasn\u00e9ho s\u00faboru a iniciovanie kontroly konfigur\u00e1cie, v ktorej je v direkt\u00edve uveden\u00e1 cesta k deskriptoru v s\u00faborovom syst\u00e9me . <\/p>\n Aby zostal s\u00faborov\u00fd deskriptor dlhodobo dostupn\u00fd, hodnotu v po\u017eiadavke je mo\u017en\u00e9 uvies\u0165 z\u00e1merne vy\u0161\u0161iu, ne\u017e s\u00fa skuto\u010dne odovzdan\u00e9 d\u00e1ta (server bude \u010daka\u0165 na prijatie zvy\u0161n\u00fdch \u00fadajov). \u010eal\u0161ou komplik\u00e1ciou je nutnos\u0165 uh\u00e1dnu\u0165 PID procesu a \u010d\u00edslo s\u00faborov\u00e9ho deskriptoru spojen\u00e9ho s nahranou zdie\u013eanou kni\u017enicou, no ke\u010f\u017ee v kontajneri sa zvy\u010dajne pou\u017e\u00edva minimum spusten\u00fdch procesov, potrebn\u00e9 hodnoty sa uh\u00e1daj\u00fa sp\u00f4sobom pokus-omyl. V pr\u00edpade \u00faspechu a nahrania podlo\u017eenej zdie\u013eanej kni\u017enice m\u00f4\u017ee \u00fato\u010dn\u00edk z\u00edska\u0165 pr\u00edstup k parametroch ulo\u017een\u00fdm vo vn\u00fatri pod-prostredia, ktor\u00e9 s\u00fa dostato\u010dn\u00e9 na ovl\u00e1danie cel\u00e9ho klastru.