데모

https://youtu.be/3hYlHeaf2mQ

CVE-2025-1974란?

**CVE-2025-1974 (IngressNightmare)**는 Kubernetes ingress-nginx admission controller에서 발견된 심각한 (CVSS 9.8) 인증되지 않은 원격 코드 실행 취약점입니다.

공격 흐름:

1. 업로드: HTTP POST를 통해 악성 공유 라이브러리(.so 파일)를 NGINX로 전송
2. 주입: ssl_engine 지시어를 주입하는 어노테이션이 포함된 조작된 Ingress 관련 매니페스트(AdmissionReview)를 전송
3. 실행: Admission controller가 nginx -t를 실행하여 악성 .so 파일을 로드하고 실행

영향:

• ingress-nginx 컨트롤러 파드에서 임의 코드 실행
• 모든 클러스터 시크릿에 접근 (기본 RBAC 활용)
• 완전한 클러스터 장악 가능성

영향을 받는 버전

• v1.11.5 미만 모든 버전
• v1.11.0 - v1.11.4
• v1.12.0

실행 방법

1단계: 설정 수행

제공된 ./setup_cve_env 스크립트를 실행하세요. 필요한 모든 도구(minikube, kubectl, helm)를 설치하고 단일 노드 minikube 클러스터를 생성합니다. 그런 다음 취약한 버전의 NGINX ingress-controller가 클러스터에 배포되며, 공격자 파드가 함께 배포됩니다. 이 파드는 컨트롤러 admission webhook을 사용하여 페이로드를 전송합니다.

2단계: 익스플로잇 트리거

1. ingress-controller 파드의 IP 가져오기

WEBHOOK_IP=$(kubectl get pod -n ingress-nginx -l app.kubernetes.io/component=controller -o jsonpath='{.items[0].status.podIP}')

2. 익스플로잇 트리거

kubectl exec attacker -- python3 /tmp/exploit.py $WEBHOOK_IP

3. 확인

응답 오류 로그에 CVE-2025-1974 RCE TRIGGERED가 표시됩니다. 또한, ingress 컨트롤러 파드가 모든 클러스터 시크릿에 접근할 수 있으므로 오류 로그를 통해 시크릿이 유출됩니다.

.so 페이로드는 pwned 파일도 생성합니다. 다음 명령으로 존재 여부를 확인하세요:

kubectl exec -n ingress-nginx $CPOD -- ls -l /tmp/pwned

참고 자료

CVE 항목
Wiz 보고서
Kubernetes 대응