IngressNightmare: Több ezer Kubernetes klaszter kompromittálható egyetlen sebezhető komponensen keresztül

Távolról, egyetlen konfigurációs mező manipulálásával hajtható végre kódfuttatás az Ingress NGINX Controller proxyjában – jogosultságkiterjesztést és érzékeny adatok kiszivárgását eredményezheti.

Generated with AI by Katalin Béres

A Kubernetes ökoszisztéma egyik legelterjedtebb komponensében, az Ingress NGINX Controllerben fedeztek fel több, láncba fűzhető kritikus sérülékenységet, amelyeknek a kiberbiztonsági szakértőkaz IngressNightmare összefoglaló nevet adták. Az érintett sérülékenységek CVE azonosítói: CVE-2025-1974, CVE-2025-24514, CVE-2025-1097, CVE-2025-1098 és CVE-2025-24513.¹

Az Ingress NGINX Controller a Kubernetes klaszterek peremén elhelyezkedő reverse proxy, amely az érkező forgalmat továbbítja a megfelelő szolgáltatásokhoz és podokhoz – kulcsfontosságú szerepet játszva a konténerizált alkalmazások külső elérhetőségében. A projekt a Kubernetes közösség hivatalos része.

A felhőalapú környezetek 43%-a érintett és több mint 6500 klaszter – köztük Fortune 500 cégek környezetében – publikusan elérhetővé tette az Ingress admission controller-t, ami azonnali, kritikus kockázatot jelent. A támadók speciálisan kialakított Ingress objektumokon keresztül távoli kódfuttatást hajthatnak végre és teljes irányítást szerezhetnek a klaszter felett.

A legsúlyosabb CVE (CVE-2025-1974) CVSS v3.1 pontszáma 9.8, ami kritikus, még a többi sérülékenység magas (CVSS 7.0–9.0 közötti) kockázati besorolást kapott.

Érintett termékek és verziók:

• Kubernetes Ingress-NGINX Controller

• Érintett verziók: < 1.11.0, 1.11.0 - 1.11.4, 1.12.0

• Érintett telepítési módok:

  • Az admission webhook nyilvánosan elérhető

  • Nem megbízható felhasználók hozhatnak létre Ingress objektumokat

Támadás hatása:

• Jogosulatlan távoli kódfuttatás (RCE)

• Teljes klaszter kompromittálása

• Titkos adatok kiszivárgása

• Szolgáltatásmegtagadás (DoS)

Exploit elérhetősége:

• Részleges PoC-ok nyilvánosan elérhetők, teljes funkcionalitású exploit egyelőre nem ismert

• A sérülékenységek kihasználása viszonylag egyszerű, automatizálható