CVE-2025-1097: ingress-nginx controller configuration injection via unsanitized auth-tls-match-cn annotation

CVSS 评分: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H (分数: 8.8，高危)

在 ingress-nginx 中发现一个安全问题，auth-tls-match-cn Ingress 注解可被用于向 nginx 注入配置。这可能导致在 ingress-nginx 控制器的上下文中执行任意代码，并泄露控制器可访问的 Secret。（请注意，在默认安装中，控制器可以访问集群范围内的所有 Secret。）

我是否受影响？

此问题影响 ingress-nginx。如果您的集群中没有安装 ingress-nginx，则不受影响。您可以通过运行 kubectl get pods --all-namespaces --selector app.kubernetes.io/name=ingress-nginx 来检查。

受影响版本

< v1.11.0
v1.11.0 - 1.11.4
v1.12.0

如何缓解此漏洞？

需要采取的行动：必须执行以下步骤来缓解此漏洞：将 ingress-nginx 升级到 v1.11.5、v1.12.1 或任何更高版本。

已修复版本

ingress-nginx main@06c992a

要升级，请参阅文档：升级 Ingress-nginx

检测

Ingress 资源中 auth-tls-match-cn 注解内的可疑数据可能表明存在利用此漏洞的尝试。如果您发现此漏洞已被利用的证据，请联系 security@kubernetes.io

致谢

此漏洞由 Wiz 公司的 Nir Ohfeld、Ronen Shustin、Sagi Tzadik 和 Hillai Ben Sasson 报告。该问题由 Marco Ebert、James Strong、Tabitha Sable 以及 Kubernetes 安全响应委员会修复和协调。

CVE-2025-1097：解析Kubernetes ingress-nginx控制器配置注入高危漏洞

本文详细描述了Kubernetes ingress-nginx控制器中一个编号为CVE-2025-1097的高危安全漏洞。该漏洞允许通过未经验证的`auth-tls-match-cn`注解进行配置注入，可能导致控制器环境中的任意代码执行及敏感信息泄露。