🚨 Teste de Injeção de Log via Controlador de Admissão Ingress-NGINX

🧠 Visão Geral

Este script testa vulnerabilidades de injeção de anotações em clusters Kubernetes usando o Controlador Ingress NGINX. Ele é destinado apenas para fins de detecção em relação ao CVE-2025-1974, que permite que anotações maliciosas influenciem a configuração do NGINX.

📚 Contexto

A vulnerabilidade, divulgada pela Wiz.io (post no blog), envolve a injeção de anotações que são tratadas incorretamente pelo controlador. Por exemplo:

nginx.ingress.kubernetes.io/auth-url: "http://placeholder/#; error_log /root/this_path_shouldnt_exist.log debug; #"

Isso pode levar a comportamento inesperado da configuração do NGINX e erros de permissão se processado. Em cenários mais avançados, esse tipo de injeção pode ser encadeado com outras configurações incorretas para alcançar execução remota de código (RCE).

🛠️ O Que Este Script Faz

1. Carrega um payload AdmissionReview criado de um arquivo YAML.
2. Envia-o para o endpoint /validate do controlador de admissão.
3. Solicita ao usuário que verifique os logs do controlador ingress para resultados.

📁 Arquivos

• admission_review.yaml: Contém a solicitação AdmissionReview criada.
• main.py: Envia o payload para o controlador.

🚀 Uso

Primeiro, encaminhe a porta do controlador de admissão:

kubectl port-forward -n ingress-nginx svc/ingress-nginx-controller-admission 8443:443

Então execute:

python main.py --url https://localhost:8443

🔍 Resultado Esperado

Verifique os logs do controlador ingress:

kubectl logs -n ingress-nginx -l app.kubernetes.io/component=controller

Você pode ver:

nginx: [emerg] open() "/root/this_path_shouldnt_exist.log" failed (13: Permission denied)

Isso indica que a anotação foi executada indevidamente como uma diretiva.

⚠️ Aviso

Apenas para testes educacionais e autorizados. Não execute em sistemas sem permissão.

🔗 Referências

• Blog da Wiz: Quebrando Ingress NGINX
• Anotações do Ingress NGINX
• CVE-2025-1974

Use esta ferramenta para verificar se seu cluster está vulnerável à injeção de anotações via Ingress NGINX. A exploração desta vulnerabilidade pode fazer parte de uma cadeia de ataques mais ampla que leva à execução remota de código.