Критическая уязвимость RCE в контроллере допуска Ingress-NGINX v1.11.1

Критическая уязвимость удалённого выполнения кода в Ingress-NGINX Admission Controller

Специалисты по кибербезопасности выявили серьёзную уязвимость в Ingress-NGINX Admission Controller версии 1.11.1, позволяющую осуществлять удалённое выполнение кода (RCE) через инъекцию файловых дескрипторов (FD). Эксплойт, зарегистрированный под Exploit-DB ID 52475, представляет критическую угрозу для Kubernetes-сред, использующих данный компонент.

Технические детали уязвимости

Уязвимость связана с неправильной обработкой файловых дескрипторов в контроллере допуска, что позволяет злоумышленникам внедрять вредоносные файловые дескрипторы в процесс. Такая манипуляция может привести к выполнению произвольного кода с привилегиями уязвимого сервиса. Особую озабоченность вызывают следующие аспекты:

• Удалённая эксплуатация: Атакующие могут воспользоваться уязвимостью без локального доступа.
• Потенциал повышения привилегий: Успешная эксплуатация может предоставить контроль над Kubernetes-кластером.
• Низкая сложность атаки: Эксплойт не требует применения сложных техник, что увеличивает риск массовых атак.

На данный момент CVE ID этой уязвимости не присвоен, однако ИБ-командам рекомендуется следить за обновлениями от проекта Ingress-NGINX для получения официальных рекомендаций.

Анализ последствий

Уязвимость RCE представляет высокий уровень риска для организаций, использующих Ingress-NGINX Admission Controller v1.11.1. Возможные последствия включают:

• Несанкционированный доступ к кластеру: Злоумышленники могут получить контроль над рабочими нагрузками Kubernetes, что приведёт к утечкам данных или сбоям в работе сервисов.
• Латеральное перемещение: Скомпрометированные контроллеры могут стать точкой входа для дальнейших атак внутри сети.
• Нарушение соответствия требованиям: Неисправленные системы могут не соответствовать нормативным требованиям к безопасности оркестрации контейнеров.

Рекомендации для ИБ-команд

1. Немедленное обновление: Установите последнюю стабильную версию Ingress-NGINX Admission Controller, как только будет выпущен патч.
2. Сегментация сети: Изолируйте контроллеры допуска от ненадёжных сетей для ограничения потенциальной угрозы.
3. Мониторинг и обнаружение: Разверните системы обнаружения вторжений (IDS) для выявления подозрительной активности файловых дескрипторов или несанкционированного выполнения процессов.
4. Контроль доступа: Ограничьте права доступа для контроллера допуска, чтобы минимизировать возможный ущерб от эксплуатации уязвимости.
5. Планирование реагирования на инциденты: Подготовьте процедуры локализации и восстановления на случай инцидентов, связанных с RCE.

ИБ-командам следует уделить первоочередное внимание этой уязвимости из-за её удалённой эксплуатации и высокого влияния на безопасность Kubernetes. Следите за обновлениями на Exploit-DB для получения технических деталей PoC и информации от разработчиков Ingress-NGINX.