Difetti critici nel controller Ingress NGINX consentono l'esecuzione di codice remoto
Un set di cinque gravi vulnerabilità recentemente divulgate, soprannominato IngressIncubo da un'azienda di sicurezza cloud Mago, ha messo più di 6,500 Cluster Kubernetes a rischio. Questi difetti critici hanno un impatto sull' Controllore NGINX di ingresso e potrebbe consentire l'accesso non autenticato esecuzione di codice remoto (RCE), abilitazione della compromissione completa del cluster. le vulnerabilità, con punteggi CVSS alti quanto 9.8, non influenzano l'implementazione alternativa del controller di ingresso NGINX per NGINX e NGINX Plus.
Il componente interessato, il controllore di ammissione, è responsabile dell'elaborazione delle richieste di ammissione all'API Kubernetes. Grazie alla sua accessibilità di rete illimitata e ai privilegi elevati, diventa un obiettivo chiave per lo sfruttamento.
Ricercatori maghi scoperto che gli attori malintenzionati potrebbero creare oggetti di ingresso per inviare richieste AdmissionReview direttamente al controller di ammissione. Ciò consente loro di iniettare configurazioni NGINX arbitrarie, che porta all'esecuzione di codice remoto all'interno del controller pod e al potenziale accesso a tutti i segreti attraverso gli spazi dei nomi.
Dettagli sulle vulnerabilità di IngressNightmare
Le cinque vulnerabilità sono:
- CVE-2025-24513 (CVSS 4.8) — Una convalida di input non corretta potrebbe causare l'attraversamento della directory, negazione del servizio, o fuga di segreti limitata quando concatenata con altri difetti.
- CVE-2025-24514 (CVSS 8.8) — Abuso del
auth-urll'annotazione può iniettare la configurazione e abilitare l'esecuzione di codice arbitrario. - CVE-2025-1097 (CVSS 8.8) — Sfruttando il
auth-tls-match-cnl'annotazione determina l'iniezione di configurazione e la divulgazione di segreti. - CVE-2025-1098 (CVSS 8.8) — Manipolare il
mirror-targetemirror-hostle annotazioni possono portare all'esecuzione di codice non autorizzato. - CVE-2025-1974 (CVSS 9.8) — Consente agli aggressori non autenticati con accesso alla rete pod di eseguire codice arbitrario in condizioni specifiche.
Scenario di sfruttamento e mitigazione
In una catena di attacco teorica dimostrata da Wiz, un avversario può caricare una libreria condivisa dannosa utilizzando la funzionalità buffer del corpo del client NGINX. Segue una richiesta AdmissionReview che carica la libreria tramite direttive di configurazione iniettate, portando infine all'esecuzione di codice remoto.
Ricercatore di sicurezza Hillai Ben Sasson ha notato che l'attaccante potrebbe aumentare i privilegi sfruttando un potente Account di Servizio, ottenere l'accesso completo ai segreti di Kubernetes e orchestrare un'acquisizione a livello di cluster.
CVE-2025-1974 e il resto delle vulnerabilità sono state corrette Versioni del controller Ingress NGINX 1.12.1, 1.11.5, e 1.10.7. Si invitano gli utenti ad aggiornare immediatamente e a limitare l'accesso esterno all'endpoint del webhook di ammissione. Ulteriori misure di mitigazione includono la limitazione dell'accesso al server API Kubernetes e la disabilitazione del controller di ammissione se non in uso.
Altre vulnerabilità NGINX recentemente affrontate
Oltre ai difetti di IngressNightmare, sono state identificate e risolte diverse altre vulnerabilità correlate a NGINX:
- CVE-2024-24989: Dereferenziazione del puntatore NULL nel modulo HTTP/3 (corretto nella versione 1.27.0).
- CVE-2024-24990: Vulnerabilità use-after-free nel modulo HTTP/3 QUIC (versioni 1.25.0–1.25.3).
- CVE-2024-31079, CVE-2024-32760, CVE-2024-34161, e CVE-2024-35200: Una serie di corruzione della memoria, divulgazione, e problemi di buffer overflow risolti nelle versioni 1.27.0 e più tardi.
- CVE-2022-41741 e CVE-2022-41742: Vulnerabilità di corruzione e divulgazione della memoria nel modulo ngx_http_mp4_module (fisso nelle versioni 1.23.2 e 1.22.1).
Questi casi evidenziano l'importanza di rimanere aggiornati con le patch di sicurezza e di monitorare gli avvisi ufficiali per mantenere distribuzioni sicure di soluzioni basate su NGINX.
Milena Dimitrova
Uno scrittore ispirato e un gestore di contenuti che è stato con SensorsTechForum dall'inizio del progetto. Un professionista con 10+ anni di esperienza nella creazione di contenuti accattivanti. Incentrato sulla privacy degli utenti e lo sviluppo di malware, crede fortemente in un mondo in cui la sicurezza informatica gioca un ruolo centrale. Se il buon senso non ha senso, lei sarà lì per prendere appunti. Quelle note possono poi trasformarsi in articoli! Seguire Milena @Milenyim
Seguimi: