Kubernetes 的NGINX Ingress 控制器中披露了三個(gè)未修補(bǔ)的高嚴(yán)重性安全漏洞，威脅行為者可能會(huì)利用這些漏洞從集群中竊取秘密憑證。
漏洞如下：
CVE-2022-4886（CVSS 分?jǐn)?shù)：8.8） -可以繞過Ingress-nginx路徑清理來獲取 ingress-nginx 控制器的憑據(jù)
CVE-2023-5043（CVSS 評(píng)分：7.6）- Ingress-nginx 注釋注入導(dǎo)致任意命令執(zhí)行
CVE-2023-5044（CVSS 評(píng)分：7.6） - 通過 nginx.ingress.kubernetes.io/permanent-redirect 注釋進(jìn)行代碼注入
Kubernetes 安全平臺(tái) ARMO 的首席技術(shù)官兼聯(lián)合創(chuàng)始人 Ben Hirschberg在談到CVE-2023-5043 和 CVE-2023 時(shí)表示：“這些漏洞使能夠控制 Ingress 對(duì)象配置的攻擊者能夠從集群中竊取秘密憑證?！?nbsp;5044.
成功利用這些缺陷可能允許攻擊者將任意代碼注入入口控制器進(jìn)程，并獲得對(duì)敏感數(shù)據(jù)的未經(jīng)授權(quán)的訪問。
CVE-2022-4886 是由于“spec.rules[].http.paths[].path”字段中缺乏驗(yàn)證導(dǎo)致的，允許有權(quán)訪問 Ingress 對(duì)象的攻擊者從入口控制器中竊取 Kubernetes API 憑據(jù)。
“在Ingress 對(duì)象中，操作員可以定義將哪個(gè)傳入 HTTP 路徑路由到哪個(gè)內(nèi)部路徑，”Hirschberg 指出?！耙资芄舻膽?yīng)用程序無法正確檢查內(nèi)部路徑的有效性，它可能指向包含服務(wù)帳戶令牌的內(nèi)部文件，該令牌是針對(duì) API 服務(wù)器進(jìn)行身份驗(yàn)證的客戶端憑據(jù)。”
在沒有修復(fù)的情況下，該軟件的維護(hù)者已經(jīng)發(fā)布了緩解措施，其中包括啟用“strict-validate-path-type”選項(xiàng)并設(shè)置 --enable-annotation-validation 標(biāo)志以防止創(chuàng)建具有無效字符的 Ingress 對(duì)象和執(zhí)行額外的限制。
ARMO 表示，將 NGINX 更新到版本 1.19，同時(shí)添加“--enable-annotation-validation”命令行配置，可以解決 CVE-2023-5043 和 CVE-2023-5044。
赫希伯格說：“盡管它們指向不同的方向，但所有這些漏洞都指向相同的根本問題?！?mark hidden color="red">文章來源：http://www.zghlxwxcb.cn/article/520.html
“事實(shí)上，入口控制器在設(shè)計(jì)上可以訪問 TLS 機(jī)密和 Kubernetes API，這使得它們成為具有高特權(quán)范圍的工作負(fù)載。此外，由于它們通常是面向公共互聯(lián)網(wǎng)的組件，因此它們非常容易受到通過它們進(jìn)入集群的外部流量的影響?！?span toymoban-style="hidden">文章來源地址http://www.zghlxwxcb.cn/article/520.html
到此這篇關(guān)于緊急：Kubernetes 的 NGINX 入口控制器中發(fā)現(xiàn)新的安全漏洞的文章就介紹到這了,更多相關(guān)內(nèi)容可以在右上角搜索或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
