Un ensemble de cinq lacunes de s\u00e9curit\u00e9 critiques a \u00e9t\u00e9 divulgu\u00e9e dans le Contr\u00f4leur nginx entrant<\/a> pour Kubernetes<\/a> Cela pourrait entra\u00eener une ex\u00e9cution non authentifi\u00e9e de code distant, mettant plus de 6 500 clusters \u00e0 risque imm\u00e9diat en exposant le composant \u00e0 Internet public.<\/p>\n Les vuln\u00e9rabilit\u00e9s (CVE-2025-24513, CVE-2025-24514, CVE-2025-1097, CVE-2025-1098 et CVE-2025-1974), ont attribu\u00e9 un score CVSS de 9,8, ont \u00e9t\u00e9 collectivement nomm\u00e9s INDERNIGHTHNINGHNIGHTS par Wiz Wiz. Il convient de noter que les lacunes n’ont pas d’impact Contr\u00f4leur \u00e0 entronne de Nginx<\/a>qui est une autre impl\u00e9mentation du contr\u00f4leur entrant pour Nginx et Nginx Plus.<\/p>\n “L’exploitation de ces vuln\u00e9rabilit\u00e9s conduit \u00e0 un acc\u00e8s non autoris\u00e9 \u00e0 tous les secrets stock\u00e9s dans toutes les espaces de noms du cluster Kubernetes par les attaquants, ce qui peut entra\u00eener une prise de contr\u00f4le des cluster”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 dans un rapport<\/a> partag\u00e9 avec les actualit\u00e9s des pirates.<\/p>\n IngressnightMare, \u00e0 la base, affecte le contr\u00f4leur d’admission<\/a> Composant du contr\u00f4leur nginx entrant pour Kubernetes. Environ 43% des environnements cloud sont vuln\u00e9rables \u00e0 ces vuln\u00e9rabilit\u00e9s.<\/p>\n Le contr\u00f4leur Nginx Internx utilise Nginx comme proxy inverse et \u00e9quilibreur de charge, ce qui permet d’exposer les routes HTTP et HTTPS de l’ext\u00e9rieur d’un cluster vers des services \u00e0 l’int\u00e9rieur.<\/p>\n La vuln\u00e9rabilit\u00e9 tire parti du fait que les contr\u00f4leurs d’admission, d\u00e9ploy\u00e9s dans un pod Kubernetes, sont accessibles sur le r\u00e9seau sans authentification.<\/p>\n Plus pr\u00e9cis\u00e9ment, il implique d’injecter \u00e0 distance une configuration arbitraire de Nginx en envoyant un objet d’entr\u00e9e malveillant (AKA AdmissionReview demandes) directement au contr\u00f4leur d’admission, entra\u00eenant une ex\u00e9cution de code sur le pod du contr\u00f4leur Nginx Ingress.<\/p>\n “Les privil\u00e8ges \u00e9lev\u00e9s du contr\u00f4leur d’admission et l’accessibilit\u00e9 du r\u00e9seau sans restriction cr\u00e9ent un chemin d’escalade critique”, a expliqu\u00e9 Wiz. “L’exploitation de cette faille permet \u00e0 un attaquant d’ex\u00e9cuter du code arbitraire et d’acc\u00e9der \u00e0 tous les secrets de cluster \u00e0 travers les espaces de noms, ce qui pourrait conduire \u00e0 une prise de contr\u00f4le compl\u00e8te du cluster.”<\/p>\n Les lacunes sont r\u00e9pertori\u00e9es ci-dessous –<\/p>\n Dans un sc\u00e9nario d’attaque exp\u00e9rimental, un acteur de menace pourrait t\u00e9l\u00e9charger une charge utile malveillante sous la forme d’une biblioth\u00e8que partag\u00e9e sur le pod en utilisant la fonction tampon du corps client de Nginx, suivie par l’envoi d’une demande d’admission \u00e0 la demande d’admission.<\/p>\n La demande, \u00e0 son tour, contient l’une des injections de directives de configuration susmentionn\u00e9es qui provoquent le chargement de la biblioth\u00e8que partag\u00e9e, conduisant efficacement \u00e0 l’ex\u00e9cution du code distant.<\/p>\n Hillai Ben-Sasson, chercheur \u00e0 la s\u00e9curit\u00e9 du cloud chez Wiz, a d\u00e9clar\u00e9 au Hacker News que la cha\u00eene d’attaque implique essentiellement d’injecter une configuration malveillante et de l’utiliser pour lire des fichiers sensibles et ex\u00e9cuter du code arbitraire. Cela pourrait par la suite permettre \u00e0 un attaquant de maltraiter un fort compte de service afin de lire les secrets de Kubernetes et, finalement, de faciliter la prise de contr\u00f4le des cluster.<\/p>\n Apr\u00e8s la divulgation responsable, les vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 abord\u00e9es dans les versions de contr\u00f4leur nginx nginx 1.12.1, 1.11.5 et 1.10.7.<\/p>\n Les utilisateurs sont recommand\u00e9s \u00e0 mettre \u00e0 jour vers la derni\u00e8re version d\u00e8s que possible et \u00e0 s’assurer que le Entr\u00e9e Webhook Point de terminaison<\/a> n’est pas expos\u00e9 \u00e0 l’ext\u00e9rieur.<\/p>\n En tant qu’att\u00e9nuations, il est conseill\u00e9 de limiter uniquement le serveur API Kubernetes pour acc\u00e9der au contr\u00f4leur d’admission et d\u00e9sactiver temporairement le composant du contr\u00f4leur d’admission s’il n’est pas n\u00e9cessaire.<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/La-vulnerabilite-critique-du-controleur-nginx-nginx-permet-un-RCE.png\")
<\/a><\/center><\/div>\n\n
<\/a><\/center><\/div>\n