CVE-2025-1974

WhiteHat School 3e promotion - Kim So-eun (@salt318)

Résumé

• Causé par une faille dans le contrôleur d'admission Ingress-NGINX, un mécanisme de sécurité clé de Kubernetes
• Le contrôleur d'admission Ingress-NGINX est exposé au réseau sans authentification
• Cela permet à un attaquant de manipuler des requêtes AdmissionReview malveillantes pour injecter des configurations non autorisées dans les ressources Ingress
• En combinaison avec d'autres vulnérabilités, une exécution de code à distance est possible (CVE-2025-24514, CVE-2025-1097 ou CVE-2025-1098)

Configuration et exécution de l'environnement

• Exécutez docker compose up -d pour lancer l'environnement de test (environnement Kubernetes basé sur K3s)
• Compilez le code shell malveillant
  root@kitploit:~

  gcc -shared -fPIC -o shell.so shell.c
  

• Exploitez la vulnérabilité avec la commande suivante
  root@kitploit:~

  python exploit.py -a https://localhost:30443/networking/v1/ingresses -i http://localhost:30080/fake/addr -s shell.so
  

Résultat d'exécution

Synthèse

La vulnérabilité due à l'absence d'authentification dans le contrôleur d'admission Ingress-NGINX permet d'injecter des ressources Ingress malveillantes ou de prendre le contrôle du système, et peut conduire à une exécution de code à distance (RCE) si elle est combinée à d'autres vulnérabilités. Il est donc nécessaire de renforcer l'authentification et la validation des autorisations d'accès au contrôleur d'admission, de durcir la logique de validation des ressources Ingress, et d'appliquer des mesures de sécurité telles que le blocage des accès externes via la configuration de listes de contrôle d'accès (ACL) réseau.