Urgente: Descubiertas Nuevas Fallas de Seguridad en el Controlador de Ingress de NGINX para Kubernetes

El 30 de octubre de 2023, la sala de prensa ha informado sobre tres fallas de seguridad de alta gravedad sin parches que se han revelado en el controlador de ingress NGINX para Kubernetes, las cuales podrían ser utilizadas por un actor de amenazas para robar credenciales secretas del clúster.

Las vulnerabilidades son las siguientes:

• CVE-2022-4886 (puntaje CVSS: 8.8) - La sanitización de la ruta de Ingress-nginx se puede eludir para obtener las credenciales del controlador de Ingress-nginx.
• CVE-2023-5043 (puntaje CVSS: 7.6) - La inyección de anotaciones de Ingress-nginx provoca la ejecución de comandos arbitrarios.
• CVE-2023-5044 (puntaje CVSS: 7.6) - Inyección de código a través de la anotación nginx.ingress.kubernetes.io/permanent-redirect.

"Estas vulnerabilidades permiten a un atacante, que puede controlar la configuración del objeto Ingress, robar credenciales secretas del clúster", dijo Ben Hirschberg, CTO y cofundador de la plataforma de seguridad Kubernetes ARMO, refiriéndose a CVE-2023-5043 y CVE-2023-5044.

La explotación exitosa de las fallas podría permitir que un adversario inyecte código arbitrario en el proceso del controlador de ingresos y obtenga acceso no autorizado a datos sensibles.

CVE-2022-4886, como resultado de la falta de validación en el campo "spec.rules[].http.paths[].path", permite a un atacante con acceso al objeto Ingress extraer credenciales de la API de Kubernetes del controlador de ingresos.

"En el objeto Ingress, el operador puede definir a qué ruta HTTP entrante se dirige la ruta interna", señaló Hirschberg. "La aplicación vulnerable no verifica adecuadamente la validez de la ruta interna y puede apuntar al archivo interno que contiene el token de la cuenta de servicio, que es la credencial del cliente para la autenticación contra el servidor API".

Ante la ausencia de correcciones, los mantenedores del software han lanzado mitigaciones que incluyen habilitar la opción "strict-validate-path-type" y establecer el indicador --enable-annotation-validation para evitar la creación de objetos Ingress con caracteres inválidos y aplicar restricciones adicionales.

ARMO afirmó que actualizar NGINX a la versión 1.19, junto con agregar la configuración de línea de comandos "--enable-annotation-validation", resuelve CVE-2023-5043 y CVE-2023-5044.

"Aunque apuntan en direcciones diferentes, todas estas vulnerabilidades apuntan al mismo problema subyacente", dijo Hirschberg.

"El hecho de que los controladores de ingresos tengan acceso a secretos TLS y a la API de Kubernetes por diseño los convierte en cargas de trabajo con un alcance de privilegios alto. Además, como a menudo son componentes públicos expuestos a Internet, son muy vulnerables al tráfico externo que ingresa al clúster a través de ellos."

Fuente y créditos: Urgent: New Security Flaws Discovered in NGINX Ingress Controller for Kubernetes (thehackernews.com)

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.