CVE-2025-1974
ingress-nginx एडमिशन कंट्रोलर RCE एस्केलेशन
- प्रकाशित
- 24 मार्च 2025
- अद्यतन
- 26 फ़र॰ 2026
- सीएनए असाइन करना
- kubernetes
- साक्ष्य देखे गए
- 20 जून 2025
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.9%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Kubernetes में एक सुरक्षा समस्या पाई गई जहाँ कुछ शर्तों के तहत, pod नेटवर्क तक पहुँच रखने वाला बिना प्रमाणीकरण वाला हमलावर ingress-nginx controller के संदर्भ में मनमाना कोड निष्पादन प्राप्त कर सकता है। इससे controller के लिए सुलभ Secrets का खुलासा हो सकता है। (ध्यान दें कि डिफ़ॉल्ट इंस्टॉलेशन में, controller पूरे क्लस्टर में सभी Secrets तक पहुँच सकता है।)
स्रोत
ingress-nginx/CVE-2025-1974
Kubernetes Ingress-NGINX Unauthenticated Remote Code Execution (CVE-2025-1974)
Vulhub vulnerability labsघोषित शर्तें
- lab image version: vulhub/ingress-nginx:1.9.5(ingress-nginx/CVE-2025-1974/docker-compose.yml:services.k3s.image)
http/cves/2025/CVE-2025-1974.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: word($.matchers[*].type)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।