I det under utveckling projektet Kubernetes ingress-kontroller ingress-nginx har fyra s\u00e5rbarheter uppt\u00e4ckts, som g\u00f6r det m\u00f6jligt att k\u00f6ra sin egen kod p\u00e5 servrar inom molnsystem som anv\u00e4nder Kubernetes-plattformen och f\u00e5 full privilegierad \u00e5tkomst till Kubernetes-klustret. Problemen har tilldelats en kritisk riskniv\u00e5 (9,8 av 10). Forskarna som identifierade problemen gav s\u00e5rbarheterna kodnamnet IngressNightmare och noterade att s\u00e5rbarheterna p\u00e5verkar cirka 43% av molnmilj\u00f6erna. S\u00e5rbarheterna har \u00e5tg\u00e4rdats i versionerna ingress-nginx 1.11.5 och 1.12.1. <\/p>\n
Ingress-kontrollern fungerar som en gateway och anv\u00e4nds i Kubernetes f\u00f6r att organisera \u00e5tkomst fr\u00e5n det externa n\u00e4tverket till tj\u00e4nster inuti klustret. Kontrollen ingress-nginx \u00e4r den mest popul\u00e4ra och anv\u00e4nder server<\/a> NGINX f\u00f6r att vidarebefordra f\u00f6rfr\u00e5gningar till klustret, dirigera externa f\u00f6rfr\u00e5gningar och lastbalansera. Kubernetes-projektet tillhandah\u00e5ller grundl\u00e4ggande ingress-kontroller f\u00f6r AWS, GCE och nginx, d\u00e4r den senare inte har n\u00e5got med kontrollern kubernetes-ingress att g\u00f6ra, vars underh\u00e5ll hanteras av f\u00f6retaget F5\/NGINX (de aktuella s\u00e5rbarheterna p\u00e5verkar inte projekt som utvecklas av NGINX-utvecklarna, omn\u00e4mnandet av nginx i namnet ingress-nginx \u00e4r endast relaterat till anv\u00e4ndningen av nginx som proxy). <\/p>\n S\u00e5rbarheterna g\u00f6r det m\u00f6jligt f\u00f6r en icke-autentiserad angripare att k\u00f6ra sin egen kod i kontexten av ingress-nginx-kontrollern, med m\u00f6jlighet att skicka en f\u00f6rfr\u00e5gan till Admission-webbhantverkaren. Under n\u00e4tverksgenoms\u00f6kningen har \u00f6ver 6500 s\u00e5rbara Kubernetes-kluster uppt\u00e4ckts som anv\u00e4nder offentligt tillg\u00e4ngliga s\u00e5rbara kontroller med en \u00f6ppen f\u00f6rfr\u00e5gan hanterare f\u00f6r Admission. <\/p>\n I standardkonfigurationen kan kod som k\u00f6rs av en angripare f\u00e5 tillg\u00e5ng till inst\u00e4llningarna f\u00f6r Ingress-objektet, d\u00e4ribland autentiseringsuppgifter f\u00f6r att kontakta Kubernetes-servrar, vilket m\u00f6jligg\u00f6r privilegierad \u00e5tkomst till hela klustret. F\u00f6r att skydda mot detta rekommenderas det att inaktivera funktionen \"Validating Admission Controller\" i ingress-nginx. <\/p>\n Admission-kontrolleren startas i en separat pod-milj\u00f6 och utf\u00f6r kontroll av inkommande ingress-objekt innan de distribueras. Som standard accepterar webbh\u00e4ndelsen Admission f\u00f6rfr\u00e5gningar utan autentisering fr\u00e5n offentliga n\u00e4tverk. Vid kontrollen skapar Admission-kontrolleren en konfiguration f\u00f6r http-servern nginx baserat p\u00e5 inneh\u00e5llet i det mottagna ingress-objektet och kontrollerar dess korrekthet. <\/p>\n De uppt\u00e4ckta s\u00e5rbarheterna m\u00f6jligg\u00f6r att egna inst\u00e4llningar kan s\u00e4ttas in i nginx genom att skicka ett specialutformat ingress-objekt direkt till Admission-kontrollern. Forskare har uppt\u00e4ckt att vissa egenskaper hos kontrollfr\u00e5gor som st\u00e4lls i f\u00e4ltet \".request.object.annotations\" direkt s\u00e4tts in i nginx-konfigurationen. Den genererade konfigurationen till\u00e4mpas d\u00e4remot inte, utan testas bara genom att k\u00f6ra k\u00f6rbara filen \"nginx\" med alternativet \"-t\". <\/p>\n Specifikt sker ins\u00e4ttning av externa data i konfigurationen f\u00f6r parametrarna \"mirror-target\", \"mirror-host\" (CVE-2025-1098), \"auth-tls-match-cn\" (CVE-2025-1097) och \"auth-url\" (CVE-2025-24514). Till exempel, i konfigurationsraden \"set $target {{ $externalAuth.URL }};\" s\u00e4tts URL:en som anges i parametern \"auth-url\" ist\u00e4llet f\u00f6r \"{{ $externalAuth.URL }}\". Kontroll av korrekthet f\u00f6r URL:en g\u00f6rs inte. F\u00f6ljaktligen kan en angripare skicka en URL av typen \"http:\/\/example.com\/#;\ninst\u00e4llningar\" och infoga sina egna inst\u00e4llningar i konfigurationsfilen. <\/p>\n F\u00f6r att k\u00f6ra godtycklig kod under konfigurationskontrollen med kommandot \"nginx -t\" utnyttjade forskarna att nginx, f\u00f6rutom syntaxkontrollen, laddar bibliotek med moduler och \u00f6ppnar filer som n\u00e4mns i konfigurationen f\u00f6r att bed\u00f6ma deras tillg\u00e4nglighet. Bland annat laddas en delad bibliotek som anges i direktivet ssl_engine. SSL<\/a>-motorn. <\/p>\n F\u00f6r att ladda upp sitt bibliotek p\u00e5 Kubernetes-servern anv\u00e4nde forskarna (CVE-2025-1974) det faktum att nginx, vid hantering av stora f\u00f6rfr\u00e5gningar, sparar beg\u00e4rans kropp i en tempor\u00e4r fil som omedelbart tas bort, men i filsystemet finns det fortfarande en \u00f6ppen filbeskrivare f\u00f6r denna fil. D\u00e4rmed kan man samtidigt skicka f\u00f6rfr\u00e5gningar f\u00f6r att spara den tempor\u00e4ra filen och initiera konfigurationskontrollen d\u00e4r direktivet anger s\u00f6kv\u00e4gen till beskrivaren i filsystemet . <\/p>\n F\u00f6r att filbeskrivaren ska f\u00f6rbli tillg\u00e4nglig under en l\u00e4ngre tid kan v\u00e4rdet i f\u00f6rfr\u00e5gan anges avsiktligt stort, mer \u00e4n de faktiskt \u00f6verf\u00f6rda uppgifterna (servern kommer att v\u00e4nta p\u00e5 att ta emot de kvarvarande uppgifterna). En ytterligare sv\u00e5righet \u00e4r att gissa PID f\u00f6r processen och nummer p\u00e5 filbeskrivaren kopplad till det laddade delade biblioteket, men eftersom det vanligtvis finns ett minimalt antal k\u00f6rande processer i containern, gissas de n\u00f6dv\u00e4ndiga v\u00e4rdena genom att prova sig fram i flera f\u00f6rs\u00f6k. Vid framg\u00e5ng och laddning av det manipulerade delade biblioteket kan angriparen f\u00e5 tillg\u00e5ng till parametrar som lagras inom pod-milj\u00f6n, tillr\u00e4ckliga f\u00f6r att styra hela klustret.