Se ha revelado un conjunto de cinco deficiencias cr\u00edticas de seguridad en el Ingreso del controlador Nginx<\/a> para Kubernetes<\/a> Eso podr\u00eda resultar en una ejecuci\u00f3n de c\u00f3digo remoto no autenticada, poniendo m\u00e1s de 6.500 grupos con riesgo inmediato al exponer el componente a Internet p\u00fablico.<\/p>\n Las vulnerabilidades (CVE-2025-24513, CVE-2025-24514, CVE-2025-1097, CVE-2025-1098 y CVE-2025-1974), se han asignado una puntuaci\u00f3n CVSS de 9.8, han sido colectivamente nombrados por codificaci\u00f3n de la empresa de seguridad de la nube por la firma de seguridad de la nube Wiz. Vale la pena se\u00f1alar que las deficiencias no afectan Controlador de entrada nginx<\/a>que es otra implementaci\u00f3n del controlador de ingreso para Nginx y Nginx Plus.<\/p>\n “La explotaci\u00f3n de estas vulnerabilidades conduce a un acceso no autorizado a todos los secretos almacenados en todos los espacios de nombres en el cl\u00faster de Kubernetes por parte de los atacantes, lo que puede provocar la adquisici\u00f3n de cl\u00faster”, dijo la compa\u00f1\u00eda en un informe<\/a> compartido con las noticias del hacker.<\/p>\n Ingressnightmare, en su n\u00facleo, afecta el controlador de admisi\u00f3n<\/a> Componente del controlador de entrada Nginx para Kubernetes. Alrededor del 43% de los entornos en la nube son vulnerables a estas vulnerabilidades.<\/p>\n Ingress Nginx Controller utiliza NGINX como un proxy inverso y un equilibrador de carga, lo que permite exponer rutas HTTP y HTTPS desde fuera de un cl\u00faster a servicios dentro de \u00e9l.<\/p>\n La vulnerabilidad aprovecha el hecho de que los controladores de admisi\u00f3n, implementados dentro de un POD de Kubernetes, son accesibles a trav\u00e9s de la red sin autenticaci\u00f3n.<\/p>\n Espec\u00edficamente, implica inyectar una configuraci\u00f3n de Nginx arbitraria de forma remota enviando un objeto de entrada malicioso (tambi\u00e9n conocido como solicitudes de admisi\u00f3n) directamente al controlador de admisi\u00f3n, lo que resulta en la ejecuci\u00f3n del c\u00f3digo en el POD del controlador Nginx del ingreso.<\/p>\n “Los privilegios elevados del controlador de admisi\u00f3n y la accesibilidad de la red sin restricciones crean una ruta de escalada cr\u00edtica”, explic\u00f3 Wiz. “La explotaci\u00f3n de este defecto permite que un atacante ejecute c\u00f3digo arbitrario y acceda a todos los secretos de cl\u00faster en los espacios de nombres, lo que podr\u00eda conducir a la adquisici\u00f3n completa del cl\u00faster”.<\/p>\n Las deficiencias se enumeran a continuaci\u00f3n –<\/p>\n En un escenario de ataque experimental, un actor de amenaza podr\u00eda cargar una carga \u00fatil maliciosa en forma de una biblioteca compartida a la c\u00e1psula utilizando la funci\u00f3n de buffer de cuerpo cliente de Nginx, seguido de enviar una solicitud de admisi\u00f3n al controlador de admisi\u00f3n.<\/p>\n La solicitud, a su vez, contiene una de las inyecciones de la Directiva de configuraci\u00f3n antes mencionada que hace que la biblioteca compartida se cargue, lo que lleva efectivamente a la ejecuci\u00f3n de c\u00f3digo remoto.<\/p>\n Hillai Ben-Sasson, investigador de seguridad en la nube de Wiz, dijo a The Hacker News que la cadena de ataque esencialmente implica inyectar configuraci\u00f3n maliciosa y utilizarla para leer archivos confidenciales y ejecutar c\u00f3digo arbitrario. Posteriormente, esto podr\u00eda permitir que un atacante abusara de una cuenta de servicio s\u00f3lida para leer los secretos de Kubernetes y, en \u00faltima instancia, facilitar la adquisici\u00f3n del cl\u00faster.<\/p>\n Despu\u00e9s de la divulgaci\u00f3n responsable, las vulnerabilidades se han abordado en las versiones del controlador Nginx Ingress 1.12.1, 1.11.5 y 1.10.7.<\/p>\n Se recomienda a los usuarios que se actualicen a la \u00faltima versi\u00f3n lo antes posible y se aseguren de que el punto final de admisi\u00f3n webhook<\/a> no est\u00e1 expuesto externamente.<\/p>\n Como mitigaciones, se recomienda limitar solo el servidor de la API de Kubernetes para acceder al controlador de admisi\u00f3n y deshabilitar temporalmente el componente del controlador de admisi\u00f3n si no es necesario.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/03\/La-vulnerabilidad-del-controlador-Nginx-de-entrada-critica-permite-RCE.png\")
<\/a><\/center><\/div>\n\n
<\/a><\/center><\/div>\n