DEMO

https://youtu.be/3hYlHeaf2mQ

Qu'est-ce que CVE-2025-1974 ?

CVE-2025-1974 (IngressNightmare) est une vulnérabilité critique (CVSS 9.8) d'exécution de code à distance non authentifiée dans le contrôleur d'admission ingress-nginx de Kubernetes.

Flux d'attaque :

1. Envoi : Envoyer une bibliothèque partagée malveillante (fichier .so) à NGINX via HTTP POST
2. Injection : Envoyer des manifests liés à Ingress (AdmissionReview) avec l'annotation qui injecte la directive ssl_engine
3. Exécution : Le contrôleur d'admission exécute nginx -t qui charge et exécute le .so malveillant

Impact :

• Exécution de code arbitraire dans le pod du contrôleur ingress-nginx
• Accès à tous les Secrets du cluster (en exploitant le RBAC par défaut)
• Potentiel de compromission totale du cluster

Versions affectées

• Toutes les versions < v1.11.5
• v1.11.0 - v1.11.4
• v1.12.0

Comment l'exécuter

Étape 1 : Effectuer la configuration

Exécutez le script ./setup_cve_env fourni. Il installera tous les outils requis (minikube, kubectl, helm) et créera un cluster minikube à un nœud. Ensuite, une version vulnérable du contrôleur d'entrée NGINX sera déployée sur le cluster, ainsi qu'un pod attaquant qui utilisera le webhook d'admission du contrôleur pour envoyer la charge utile.

Étape 2 : Déclencher l'exploit

1. Obtenir l'IP du pod ingress-controller

WEBHOOK_IP=$(kubectl get pod -n ingress-nginx -l app.kubernetes.io/component=controller -o jsonpath='{.items[0].status.podIP}')

2. Déclencher l'exploit

kubectl exec attacker -- python3 /tmp/exploit.py $WEBHOOK_IP

3. Vérifier

Les journaux d'erreurs de réponse afficheront CVE-2025-1974 RCE TRIGGERED. De plus, les journaux d'erreurs exfiltreront les secrets, car le pod du contrôleur d'entrée a accès à tous les secrets du cluster.

La charge utile .so créera également un fichier pwned. Vérifiez sa présence avec :

kubectl exec -n ingress-nginx $CPOD -- ls -l /tmp/pwned

Références

Entrée CVE
Rapport Wiz
Réponse de Kubernetes