Ingress-nginx CVE-2025-1974: Was Sie wissen müssen

Die Maintainer von ingress-nginx haben Patches für kritische Sicherheitslücken veröffentlicht, die es Angreifern ermöglichen könnten, Kubernetes-Cluster zu übernehmen. Ingress-nginx ist ein beliebter softwarebasierter Ingress-Controller, der in über 40 % der Kubernetes-Cluster verwendet wird und die Anforderungen von Ingress-Objekten in Konfigurationen für den nginx-Webserver-Daemon übersetzt. Vier der gepatchten Sicherheitslücken verbessern die Art und Weise, wie ingress-nginx die nginx-Konfiguration handhabt, und verhindern Fehlverhalten und potenzielle Cluster-Übernahme. Die schwerwiegendste Sicherheitslücke, CVE-2025-1974, ermöglicht es jedem auf dem Pod-Netzwerk, Konfigurationsinjektions-Sicherheitslücken über die Validating Admission Controller-Funktion auszunutzen. Diese Sicherheitslücke ist besonders ernst, da sie ohne Anmeldeinformationen oder administrative Zugriffsrechte ausgenutzt werden kann. Patches für die Sicherheitslücken wurden in ingress-nginx v1.12.1 und v1.11.5 veröffentlicht. Benutzer werden dazu geraten, zu überprüfen, ob ihre Cluster ingress-nginx verwenden, und sofort auf die neue Patch-Version zu aktualisieren. Wenn ein Upgrade nicht möglich ist, kann die Deaktivierung der Validating Admission Controller-Funktion das Risiko erheblich reduzieren. Die Maintainer von ingress-nginx und die Mitglieder des Kubernetes SRC arbeiteten mit Sicherheitsforschern zusammen, um die Sicherheitslücken verantwortungsvoll offenzulegen und zu beheben. Benutzer werden dazu geraten, sofort Maßnahmen zu ergreifen, um ihre Cluster und Daten zu schützen.