N\u00eb projektin n\u00eb zhvillim t\u00eb kontrolluesit ingress t\u00eb Kubernetes, ingress-nginx, jan\u00eb identifikuar kat\u00ebr dob\u00ebsi q\u00eb lejojn\u00eb ekzekutimin e kodit t\u00eb domosdosh\u00ebm n\u00eb serverat e sistemeve cloud q\u00eb p\u00ebrdorin platform\u00ebn Kubernetes dhe sigurojn\u00eb akses t\u00eb plot\u00eb me privilegje n\u00eb klasterin Kubernetes. Problemet kan\u00eb marr\u00eb nj\u00eb nivel t\u00eb lart\u00eb rreziku (9.8 nga 10). Studiuesit q\u00eb identifikuan problemet i vun\u00eb dob\u00ebsive emrin IngressNightmare dhe theksuan se k\u00ebto dob\u00ebsi prekin rreth 43% t\u00eb mjediseve cloud. Dob\u00ebsit\u00eb jan\u00eb eliminuar n\u00eb versionet ingress-nginx 1.11.5 dhe 1.12.1. <\/p>\n
Kontrolluesi ingress vepron si nj\u00eb port\u00eb dhe p\u00ebrdoret n\u00eb Kubernetes p\u00ebr t\u00eb organizuar aksesin nga rrjeti i jasht\u00ebm n\u00eb sh\u00ebrbimet brenda klasterit. Kontrolluesi ingress-nginx \u00ebsht\u00eb m\u00eb i popullarizuari dhe aplikohet server<\/a> NGINX p\u00ebr kalimin e k\u00ebrkesave n\u00eb klaster, rute t\u00eb k\u00ebrkesave t\u00eb jashtme dhe balancimin e ngarkes\u00ebs. Projekti Kubernetes ofron kontrollues t\u00eb bazuar infrastukturor p\u00ebr AWS, GCE dhe nginx, i fundit prej t\u00eb cil\u00ebve nuk ka lidhje me kontrolluesin kubernetes-ingress, p\u00ebr mb\u00ebshtetjen e t\u00eb cilit kujdeset kompania F5\/NGINX (vulnerabilitetet e gjithanshme nuk prekin projektet e zhvilluara nga zhvilluesit e NGINX; p\u00ebrmendja e nginx n\u00eb emrin ingress-nginx lidhet vet\u00ebm me p\u00ebrdorimin e nginx si proxy). <\/p>\n Vulnerabilitetet lejojn\u00eb nj\u00eb agresor t\u00eb paautorizuar t\u00eb arrij\u00eb ekzekutimin e kodit t\u00eb tij n\u00eb kontekstin e kontrolluesit ingress-nginx, kur \u00ebsht\u00eb e mundur t\u00eb d\u00ebrgoj\u00eb nj\u00eb k\u00ebrkes\u00eb te web-p\u00ebrpunuesi Admission. Gjat\u00eb skanimit t\u00eb rrjetit jan\u00eb zbuluar m\u00eb shum\u00eb se 6500 klaster\u00eb t\u00eb preksh\u00ebm Kubernetes q\u00eb p\u00ebrdorin kontrollues t\u00eb dob\u00ebt t\u00eb aksesit publik me p\u00ebrpunuesin Admission t\u00eb hapur p\u00ebr k\u00ebrkesat e jashtme. <\/p>\n N\u00eb konfigurimin default, kodi i sulmuesit i aktivizuar mund t\u00eb fitoj\u00eb akses n\u00eb cil\u00ebsimet e objektit Ingress, ku, nd\u00ebr t\u00eb tjera, ruhen dhe kredencialet p\u00ebr t\u00eb komunikuar me server\u00ebt Kubernetes, duke mund\u00ebsuar arritjen e privilegjeve t\u00eb plota n\u00eb t\u00eb gjith\u00eb klasterin. Si nj\u00eb m\u00ebnyr\u00eb p\u00ebr t\u00eb anashkaluar mbrojtjen, rekomandohet q\u00eb t\u00eb \u00e7aktivizohet funksioni 'Validating Admission Controller' n\u00eb ingress-nginx. <\/p>\n Kontrollori Admission ekzekutohet n\u00eb nj\u00eb ambient t\u00eb ve\u00e7ant\u00eb pod-i dhe kryen operacionin e verifikimit t\u00eb objekteve ingress q\u00eb hyjn\u00eb para se t\u00eb vendosen. Nga standardi, p\u00ebrpunuesi web i Admission pranon k\u00ebrkesa pa autentifikim nga rrjeti publik. Gjat\u00eb verifikimit, kontrollori Admission krijon nj\u00eb konfigurim p\u00ebr serverin http t\u00eb nginx mbi baz\u00ebn e p\u00ebrmbajtjes s\u00eb marr\u00eb nga objekti ingress dhe e kontrollon p\u00ebr sakt\u00ebsin\u00eb e saj. <\/p>\n Dhe identifikuar vulnerabilitetet lejojn\u00eb t\u00eb vendosen cil\u00ebsimet e veta n\u00eb nginx p\u00ebrmes d\u00ebrgimit t\u00eb nj\u00eb objekti ingress t\u00eb formatuar n\u00eb m\u00ebnyr\u00eb t\u00eb ve\u00e7ant\u00eb drejtp\u00ebrdrejt n\u00eb kontrollorin Admission. K\u00ebrkuesit zbuluan se disa pron\u00ebsi t\u00eb k\u00ebrkesave verifikuese, t\u00eb vendosura n\u00eb fush\u00ebn '.request.object.annotations', vendosen drejtp\u00ebrdrejt n\u00eb konfigurimin nginx. N\u00eb k\u00ebt\u00eb m\u00ebnyr\u00eb, konfigurimi i gjeneruar nuk zbatohet, por vet\u00ebm testohet duke ekzekutuar skedarin 'nginx' me opsionin '-t'. <\/p>\n Ve\u00e7an\u00ebrisht, vendosja e t\u00eb dh\u00ebnave t\u00eb jashtme n\u00eb konfigurim b\u00ebhet p\u00ebr parametra si 'mirror-target', 'mirror-host' (CVE-2025-1098), 'auth-tls-match-cn' (CVE-2025-1097) dhe 'auth-url' (CVE-2025-24514). P\u00ebr shembull, n\u00eb rreshtin e konfigurimit 'set $target {{ $externalAuth.URL }};' n\u00eb vend t\u00eb '{{ $externalAuth.URL }}' vendoset URL-ja e specifikuar n\u00eb parametrin 'auth-url'. N\u00eb k\u00ebt\u00eb rast, sakt\u00ebsia e URL-s\u00eb nuk verifikohet. Prandaj, sulmuesi mund t\u00eb kaloj\u00eb nj\u00eb URL me vler\u00eb si 'http:\/\/example.com\/#;\nsettings' dhe t\u00eb vendos\u00eb cil\u00ebsimet e tij n\u00eb skedarin e konfigurimit. <\/p>\n P\u00ebr ekzekutimin e kodit t\u00eb rast\u00ebsish\u00ebm gjat\u00eb kontrollit t\u00eb konfigurimit me komand\u00ebn 'nginx -t', k\u00ebrkuesit shfryt\u00ebzuan faktin se p\u00ebrve\u00e7 kontrollit t\u00eb sintaks\u00ebs, nginx ngarkon biblioteka me module dhe hap skedar\u00ebt e p\u00ebrmendur n\u00eb konfigurim p\u00ebr t\u00eb vler\u00ebsuar disponueshm\u00ebrin\u00eb e tyre. Nd\u00ebr t\u00eb tjera, gjat\u00eb trajtimit t\u00eb direktiv\u00ebs ssl_engine, ngarkohet biblioteka e ndar\u00eb e specifikuar n\u00eb direktiv\u00eb. SSL<\/a>-motorin. <\/p>\n P\u00ebr t\u00eb ngarkuar bibliotek\u00ebn e tij n\u00eb serverin Kubernetes, k\u00ebrkuesit shfryt\u00ebzuan (CVE-2025-1974) faktin se gjat\u00eb trajtimit t\u00eb k\u00ebrkesave t\u00eb m\u00ebdha, nginx ruan trupin e k\u00ebrkes\u00ebs n\u00eb nj\u00eb skedar p\u00ebrkoh\u00ebsor, i cili menj\u00ebher\u00eb fshihet, por n\u00eb sistemin e skedar\u00ebve '\/proc' mbetet nj\u00eb p\u00ebrshkrues skedari i hapur p\u00ebr at\u00eb skedar. K\u00ebshtu, mund t\u00eb d\u00ebrgohen k\u00ebrkesa p\u00ebr t\u00eb ruajtur skedarin p\u00ebrkoh\u00ebsor dhe p\u00ebr t\u00eb iniciuar kontrollin e konfigurimit, n\u00eb t\u00eb cilin n\u00eb direktiv\u00ebn 'ssl_engine' \u00ebsht\u00eb specifikuar rruga te p\u00ebrshkruesi n\u00eb sistemin e skedar\u00ebve '\/proc'. <\/p>\n P\u00ebr t'u siguruar q\u00eb p\u00ebrshkruesi i skedarit mbetet i disponuesh\u00ebm p\u00ebr nj\u00eb koh\u00eb t\u00eb gjat\u00eb, vlera 'Content-Length' n\u00eb k\u00ebrkes\u00eb mund t\u00eb vendoset domosdoshm\u00ebrisht m\u00eb e madhe se t\u00eb dh\u00ebnat q\u00eb jan\u00eb transmetuar n\u00eb t\u00eb v\u00ebrtet\u00eb (serveri do t\u00eb pres\u00eb marr\u00ebjen e t\u00eb dh\u00ebnave t\u00eb mbetura). Nj\u00eb v\u00ebshtir\u00ebsi shtes\u00eb \u00ebsht\u00eb nevoja p\u00ebr t\u00eb parashikuar PID-n\u00eb e procesit dhe numrin e p\u00ebrshkruesit t\u00eb skedarit t\u00eb lidhur me bibliotek\u00ebn e ngarkuar t\u00eb ndar\u00eb, por duke qen\u00eb se n\u00eb kontejner zakonisht p\u00ebrdoren nj\u00eb num\u00ebr minimal procesesh t\u00eb nisura, vlerat e nevojshme parashikohen p\u00ebrmes provimeve t\u00eb shumta. N\u00ebse arrin t\u00eb ngarkohet biblioteka e ndar\u00eb e vendosur, sulmuesi mund t\u00eb aksesoj\u00eb parametrat e ruajtur brenda mjedisit pod, t\u00eb mjaftuesh\u00ebm p\u00ebr t\u00eb kontrolluar t\u00eb gjith\u00eb klasterin.