CVE-2025-1974: Las fallas de IngressNightmare amenazan los clústeres de Kubernetes

Fallas críticas en el controlador NGINX de Ingress permiten la ejecución remota de código

Un conjunto recientemente descubierto de cinco vulnerabilidades graves, apodada IngressPesadilla por una empresa de seguridad en la nube Fenómeno, ha puesto más de 6,500 Clústeres de Kubernetes en riesgo. Estas fallas críticas impactan la Controlador NGINX de Ingress y podría permitir que no se autentiquen ejecución remota de código (RCE), permitiendo el compromiso total del clúster. las vulnerabilidades, con puntuaciones CVSS tan altas como 9.8, no afecta la implementación alternativa del controlador de ingreso NGINX para NGINX y NGINX Plus.

El componente afectado, la controlador de admisión, es responsable de procesar las solicitudes de admisión a la API de Kubernetes. Debido a su accesibilidad a la red sin restricciones y privilegios elevados, Se convierte en un objetivo clave para la explotación..

Investigadores de Wiz descubierto que actores maliciosos podrían crear objetos de ingreso para enviar solicitudes AdmissionReview directamente al controlador de admisión. Esto les permite inyectar una configuración arbitraria de NGINX., lo que conduce a la ejecución remota de código dentro del módulo del controlador y al acceso potencial a todos los secretos en los espacios de nombres..

Detalles de las vulnerabilidades de IngressNightmare

Las cinco vulnerabilidades son:

• CVE-2025-24513 (CVSS 4.8) — Una validación de entrada incorrecta podría provocar un recorrido de directorio, negación de servicio, o fugas de secretos limitadas cuando se encadenan con otros fallos.
• CVE-2025-24514 (CVSS 8.8) — Abuso de la auth-url La anotación puede inyectar configuración y habilitar la ejecución de código arbitrario.
• CVE-2025-1097 (CVSS 8.8) — Explotando la auth-tls-match-cn La anotación da como resultado la inyección de configuración y la divulgación de secretos..
• CVE-2025-1098 (CVSS 8.8) — Manipulando el mirror-target y mirror-host Las anotaciones pueden provocar la ejecución de código no autorizado.
• CVE-2025-1974 (CVSS 9.8) — Permite que atacantes no autenticados con acceso a la red de pods ejecuten código arbitrario en condiciones específicas..

Escenario de explotación y mitigación

En una cadena de ataque teórica demostrada por Wiz, Un adversario puede cargar una biblioteca compartida maliciosa utilizando la función de búfer del cuerpo del cliente NGINX. A esto le sigue una solicitud AdmissionReview que carga la biblioteca a través de directivas de configuración inyectadas., lo que en última instancia conduce a la ejecución remota de código.

El investigador de seguridad Hillai Ben-Sasson Observó que el atacante podría aumentar los privilegios explotando una cuenta de servicio poderosa., Obtener acceso completo a los secretos de Kubernetes y orquestar una toma de control en todo el clúster.

CVE-2025-1974 y el resto de vulnerabilidades han sido corregidas en Versiones del controlador Ingress NGINX 1.12.1, 1.11.5, y 1.10.7. Se insta a los usuarios a actualizar de inmediato y restringir el acceso externo al punto final del webhook de admisión.. Las mitigaciones adicionales incluyen limitar el acceso al servidor API de Kubernetes y deshabilitar el controlador de admisión si no está en uso..

Otras vulnerabilidades de NGINX abordadas recientemente

Además de los defectos de IngressNightmare, Se han identificado y resuelto varias otras vulnerabilidades relacionadas con NGINX:

• CVE-2024-24989: Desreferencia de puntero NULL en el módulo HTTP/3 (corregido en la versión 1.27.0).
• CVE-2024-24990: Vulnerabilidad de uso después de la liberación en el módulo HTTP/3 QUIC (versiones 1.25.0–1.25.3).
• CVE-2024-31079, CVE-2024-32760, CVE-2024-34161, y CVE-2024-35200: Una serie de corrupciones de memoria, divulgación, y problemas de desbordamiento de búfer abordados en las versiones 1.27.0 y después.
• CVE-2022-41741 y CVE-2022-41742: Vulnerabilidades de divulgación y corrupción de memoria en el módulo ngx_http_mp4_module (corregido en versiones 1.23.2 y 1.22.1).

Estos casos resaltan la importancia de mantenerse actualizado con los parches de seguridad y monitorear los avisos oficiales para mantener implementaciones seguras de soluciones basadas en NGINX..

Milena Dimitrova

Un escritor inspirado y administrador de contenido que ha estado con SensorsTechForum desde que comenzó el proyecto.. Un profesional con 10+ años de experiencia en la creación de contenido atractivo. Centrado en la privacidad de los usuarios y el desarrollo de malware, ella cree firmemente en un mundo donde la seguridad cibernética juega un papel central. Si el sentido común no tiene sentido, ella estará allí para tomar notas. Esas notas pueden convertirse más tarde en artículos! Siga Milena @Milenyim

Más Mensajes

Sígueme: