DEV Community
·
CVE-2023-5043 和 CVE-2024-7646：Ingress NGINX 安全漏洞
内容提要
在ingress-nginx中发现严重安全漏洞，允许命令注入，可能泄露Kubernetes集群凭证。受影响版本为v1.9.0之前，建议启用--enable-annotation-validation标志以限制注释内容。此外，CVE-2023-5043和CVE-2024-7646漏洞需升级至v1.11.2以上，并审计Ingress对象以确保安全。
关键要点
-
在ingress-nginx中发现严重安全漏洞，允许命令注入，可能泄露Kubernetes集群凭证。
-
受影响版本为v1.9.0之前，建议启用--enable-annotation-validation标志以限制注释内容。
-
CVE-2023-5043漏洞允许通过configuration-snippet注释进行命令注入，影响多租户环境。
-
CVE-2024-7646漏洞允许攻击者绕过注释验证，可能导致命令注入和敏感数据泄露。
-
建议将ingress-nginx升级至v1.11.2以上，并审计现有Ingress对象以确保安全。
-
实施严格的RBAC策略以限制创建Ingress对象的权限，并启用Kubernetes审计日志以检测攻击尝试。
延伸解读
漏洞影响范围
CVE-2023-5043和CVE-2024-7646漏洞主要影响ingress-nginx版本v1.9.0之前的所有版本。这些漏洞可能导致命令注入和敏感数据泄露，尤其在多租户环境中，非管理员用户能够创建Ingress对象时风险更大。
安全防护措施
为降低风险，建议启用--enable-annotation-validation标志，以限制注释内容。此外，及时升级ingress-nginx至v1.11.2及以上版本，并审计现有Ingress对象，确保没有可疑注释。
RBAC策略的重要性
实施严格的RBAC（基于角色的访问控制）策略至关重要，可以限制用户创建Ingress对象的权限，从而降低潜在的攻击面。结合Kubernetes审计日志，可以有效监测和响应攻击尝试。
延伸问答
CVE-2023-5043漏洞的主要影响是什么？
CVE-2023-5043漏洞允许通过configuration-snippet注释进行命令注入，可能导致Kubernetes集群凭证泄露。
如何防范CVE-2024-7646漏洞？
建议将ingress-nginx升级至v1.11.2以上，并审计现有Ingress对象以确保安全。
受影响的ingress-nginx版本有哪些？
受影响的版本为v1.9.0之前的所有ingress-nginx版本。
启用--enable-annotation-validation标志有什么作用？
启用该标志可以限制ingress-nginx注释字段的内容，从而降低命令注入的风险。
CVE-2024-7646漏洞的攻击方式是什么？
攻击者可以创建恶意Ingress对象，利用特制注释绕过验证，从而进行命令注入和敏感数据泄露。
如何检查当前的ingress-nginx版本？
可以通过执行命令kubectl get po -n ingress-nginx来检查当前的ingress-nginx版本。
