Kubernetes Ingress NGINX Controller 曝高危漏洞，无需认证即可远程执行代码
内容提要
Kubernetes 的 Ingress NGINX Controller 存在五个严重安全漏洞，可能导致未经认证的远程代码执行，影响超过 6,500 个集群。攻击者可通过恶意请求获取机密信息或接管集群。已在最新版本中修复，建议用户及时更新并限制访问。
关键要点
-
Kubernetes 的 Ingress NGINX Controller 存在五个严重安全漏洞，可能导致未经认证的远程代码执行（RCE）。
-
这些漏洞影响超过 6,500 个集群，攻击者可通过恶意请求获取机密信息或接管集群。
-
漏洞的 CVSS 评分为 9.8，被称为 IngressNightmare，具体漏洞包括 CVE-2025-24513、CVE-2025-24514、CVE-2025-1097、CVE-2025-1098 和 CVE-2025-1974。
-
这些漏洞不影响 NGINX Ingress Controller，攻击者可通过发送恶意 Ingress 对象远程注入任意 NGINX 配置。
-
攻击者可以利用漏洞执行任意代码并访问跨命名空间的所有集群机密信息，可能导致整个集群被接管。
-
已在 Ingress NGINX Controller 的 1.12.1、1.11.5 和 1.10.7 版本中修复这些漏洞，建议用户及时更新。
-
建议确保准入 Webhook 端点不会对外暴露，并仅允许 Kubernetes API 服务器访问准入控制器。
延伸问答
Kubernetes Ingress NGINX Controller 存在哪些安全漏洞？
存在五个严重安全漏洞，包括 CVE-2025-24513、CVE-2025-24514、CVE-2025-1097、CVE-2025-1098 和 CVE-2025-1974。
这些漏洞的影响范围有多大？
这些漏洞影响超过 6,500 个集群，约 43% 的云环境可能受到影响。
攻击者如何利用这些漏洞？
攻击者可以通过发送恶意 Ingress 对象，远程注入任意 NGINX 配置，从而执行任意代码并访问机密信息。
如何修复这些漏洞？
已在 Ingress NGINX Controller 的 1.12.1、1.11.5 和 1.10.7 版本中修复，建议用户及时更新。
这些漏洞的 CVSS 评分是多少？
这些漏洞的 CVSS 评分为 9.8。
如何防止准入控制器被外部访问？
建议确保准入 Webhook 端点不会对外暴露，并仅允许 Kubernetes API 服务器访问准入控制器。
