IngressNightmare-RCE-POC

⚠️ ثغرة RCE حرجة في Ingress-NGINX عبر حقن التهيئة (CVE-2025-1974 وأكثر)

يحتوي هذا المستودع على إثبات مفهوم (PoC) لاستغلال CVE-2025-1974، وهي ثغرة حرجة (CVSS 9.8) في وحدة التحكم Ingress-NGINX الخاصة بـ Kubernetes. تسمح هذه الثغرة بتنفيذ تعليمات برمجية عن بُعد دون مصادقة عبر حقن غير آمن للتهيئة عند استخدام وحدة التحكم في القبول المُصدِّق (Validating Admission Controller). وهي الأكثر خطورة بين مجموعة من خمس ثغرات تم الكشف عنها وتصحيحها في 26 مارس 2025.

📌 التأثير:
• الإصدارات المتأثرة: وحدة التحكم Ingress-NGINX قبل الإصدار v1.12.1 / v1.11.5
• سطح الهجوم:
 • يمكن استغلالها بواسطة أي عبء عمل على شبكة Pod — لا حاجة لبيانات اعتماد أو صلاحيات إدارية
 • يمكن للمهاجمين حقن توجيهات NGINX عشوائية (مثل content_by_lua_block) عبر التعليقات التوضيحية مثل configuration-snippet
 • عند دمجها مع أخطاء في التهيئة، يمكن للمهاجمين سرقة الأسرار (Secrets) أو تحقيق اختراق كامل للمجموعة (cluster)
• النطاق:
 • غالبًا ما يكون لدى Ingress-NGINX حق الوصول إلى جميع أسرار المجموعة بشكل افتراضي
 • يمكن للـ Pods في VPC سحابي نموذجي أو شبكة مؤسسة الوصول إلى نقطة نهاية وحدة التحكم في القبول
• تتأثر المجموعات التي تشغل Ingress-NGINX مع تمكين التحكم في القبول (مفعل بشكل افتراضي في العديد من الإعدادات)

🛡️ التخفيف:
• الترقية إلى Ingress-NGINX v1.12.1 أو v1.11.5
• تعطيل التعليقات التوضيحية الخطيرة (configuration-snippet، server-snippet، إلخ)
• تقييد الوصول إلى الشبكة للـ Validating Admission Webhook
• تطبيق RBAC صارم لمنع إنشاء Ingress غير مصرح به

🧪 يُظهر إثبات المفهوم هذا كيف يمكن للمهاجمين استغلال الثغرة لتشغيل تعليمات برمجية عشوائية داخل حاوية وحدة التحكم Ingress — والتي غالبًا ما تملك حق الوصول إلى الخدمات والأسرار الداخلية — مما يؤدي إلى السيطرة الكاملة على المجموعة في التهيئات الضعيفة.

🚨 إخلاء مسؤولية: إثبات المفهوم هذا لأغراض تعليمية وبحثية فقط. لا تستخدمه دون إذن صريح.