26. März 2025
Beschreibung
Im Kubernetes Ingress NGINX Controller, einer Kernkomponente von Kubernetes, wurden mehrere kritische Sicherheitslücken entdeckt. Diese ermöglichen unter anderem unauthentifizierte Remote Code Execution (RCE) und unberechtigten Zugriff auf Secrets.
CVE-Nummern: CVE-2025-1097, CVE-2025-1098, CVE-2025-24514, CVE-2025-1974, CVE-2025-24513 CVSS Score: 9.8 (kritisch)
Auswirkungen
Durch Ausnutzen der Schwachstellen können Angreifer aus der Ferne und ohne Authentifizierung beliebigen Code ausführen und auf sensible Informationen zugreifen. Dies ermöglicht potenziell eine vollständige Kompromittierung von Kubernetes-Clustern, die den verwundbaren Ingress NGINX Controller verwenden.
Betroffene Systeme
Betroffen sind vor den Versionen 1.12.1 und 1.11.5 veröffentlichte Versionen des Ingress NGINX Controllers.
Abhilfe
Die am 25. März 2025 veröffentlichten Versionen 1.12.1 und 1.11.5 des Ingress NGINX Controllers beheben diese Sicherheitslücken. Es wird dringend empfohlen, das Update umgehend einzuspielen.
Als temporäre Maßnahme bis zum Update kann durch die Deaktivierung des Validating Admission Controller Features das Risiko signifikant reduziert werden. * Für Installationen via Helm: + Neuinstallation mit dem Parameter controller.admissionWebhooks.enabled=false * Für manuelle Installationen + Löschen der ValidatingWebhookconfiguration mit dem Namen ingress-nginx-admission + Bearbeiten des Ingress NGINX Controller Deployments oder DaemonSets und Entfernen des Parameters --validating-webhook aus der Argumentliste des Controller-Containers
Generell sollte der Netzwerkzugriff auf den Validierungs-Webhook des Ingress NGINX Controllers eingeschränkt werden, und nur vom Kubernetes API-Server aus erreichbar sein. Jeder andere Zugriff sollte als nicht vertrauenswürdig eingestuft werden.
Hinweis
Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden. __________________________________________________________________
Informationsquelle(n):
Kubernetes Blog: https://kubernetes.io/blog/2025/03/24/ingress-nginx-CVE-2025-1974
Wiz Blog: http://wiz.io/blog/ingress-nginx-kubernetes-vulnerabilities
Mit freundlichen Grüßen, Michael Schlagenhaufer