0xbingo/cve-2025-1974Kubernetes NGINX Ingress 컨트롤러에서 어노테이션 주입 취약점을 탐지하는 데 도움이 되는 최소한의 테스트 도구입니다. 이 스크립트는 CVE-2025-1974의 잠재적 악용 경로를 시뮬레이션하기 위해 조작된 AdmissionReview 요청을 전송하고, 컨트롤러 로그에서 잘못 해석된 어노테이션의 징후를 확인합니다.
이 스크립트는 NGINX Ingress Controller를 사용하는 Kubernetes 클러스터에서 어노테이션 주입 취약점을 테스트합니다. 이는 NGINX 구성에 영향을 줄 수 있는 악성 어노테이션을 허용하는 CVE-2025-1974와 관련하여 탐지 목적으로만 사용됩니다.
Wiz.io(블로그 게시물)가 공개한 이 취약점은 컨트롤러가 부적절하게 처리하는 어노테이션을 주입하는 것과 관련됩니다. 예를 들어:
nginx.ingress.kubernetes.io/auth-url: "http://placeholder/#; error_log /root/this_path_shouldnt_exist.log debug; #"
처리될 경우 예기치 않은 NGINX 구성 동작 및 권한 오류가 발생할 수 있습니다. 더 고급 시나리오에서는 이러한 유형의 주입이 다른 잘못된 구성과 연결되어 **원격 코드 실행(RCE)**을 달성할 수 있습니다.
AdmissionReview 페이로드를 로드합니다./validate 엔드포인트로 전송합니다.admission_review.yaml: 제작된 AdmissionReview 요청을 포함합니다.main.py: 페이로드를 컨트롤러로 전송합니다.먼저, 어드미션 컨트롤러 포트를 포워딩합니다:
kubectl port-forward -n ingress-nginx svc/ingress-nginx-controller-admission 8443:443
그런 다음 실행합니다:
python main.py --url https://localhost:8443
Ingress 컨트롤러 로그를 확인합니다:
kubectl logs -n ingress-nginx -l app.kubernetes.io/component=controller
다음과 같은 내용이 표시될 수 있습니다:
nginx: [emerg] open() "/root/this_path_shouldnt_exist.log" failed (13: Permission denied)
이는 어노테이션이 지시문으로 부적절하게 실행되었음을 나타냅니다.
교육 및 승인된 테스트 목적으로만 사용하십시오. 허가 없이 시스템에서 실행하지 마십시오.
이 도구를 사용하여 클러스터가 NGINX Ingress를 통한 어노테이션 주입에 취약한지 확인하십시오. 이 취약점의 악용은 원격 코드 실행으로 이어지는 더 넓은 공격 체인의 일부일 수 있습니다.