PoC para CVE-2025-1974: RCE crítica en Ingress-NGINX (<v1.12.1) mediante inyección insegura de configuración. Explotable desde la red del pod sin credenciales, permitiendo la ejecución de código y la posible toma de control del clúster. Corregido en v1.12.1 y v1.11.5. Solo para investigación/educación.
⚠️ RCE Crítica en Ingress-NGINX mediante Inyección de Configuración (CVE-2025-1974 y más)
Este repositorio contiene un exploit de prueba de concepto (PoC) para CVE-2025-1974, una vulnerabilidad Crítica (CVSS 9.8) en el controlador Ingress-NGINX para Kubernetes. Esta falla permite la ejecución remota de código no autenticada mediante inyección de configuración insegura cuando se utiliza el Controlador de Admisión Validante (Validating Admission Controller). Es la más grave de un conjunto de cinco vulnerabilidades divulgadas y parcheadas el 26 de marzo de 2025.
📌 Impacto:
• Versiones Afectadas: Controlador Ingress-NGINX anterior a v1.12.1 / v1.11.5
• Superficie de Ataque:
• Explotable por cualquier carga de trabajo en la red del Pod — no se requieren credenciales ni privilegios de administrador
• Los atacantes pueden inyectar directivas NGINX arbitrarias (p. ej., content_by_lua_block) mediante anotaciones como configuration-snippet
• Cuando se combina con configuraciones incorrectas, los atacantes pueden exfiltrar Secretos o lograr un compromiso completo del clúster
• Alcance:
• Ingress-NGINX a menudo tiene acceso a todos los Secrets del clúster por defecto
• Los Pods en una VPC típica de nube o red corporativa pueden alcanzar el endpoint del controlador de admisión
• Los clústeres afectados incluyen aquellos que ejecutan Ingress-NGINX con el control de admisión habilitado (predeterminado en muchas configuraciones)
🛡️ Mitigación:
• Actualizar a Ingress-NGINX v1.12.1 o v1.11.5
• Deshabilitar anotaciones riesgosas (configuration-snippet, server-snippet, etc.)
• Restringir el acceso de red al Webhook de Admisión Validante (Validating Admission Webhook)
• Aplicar RBAC estricto para evitar la creación no autorizada de Ingress
🧪 Este PoC demuestra cómo los atacantes pueden aprovechar la vulnerabilidad para ejecutar código arbitrario dentro del pod del controlador ingress — que a menudo tiene acceso a servicios internos y secretos — escalando a una toma completa del clúster en configuraciones vulnerables.
🚨 Aviso: Este PoC es solo con fines educativos y de investigación. No lo utilice sin permiso explícito.
