IngressNightmare-RCE-POC

⚠️ RCE Crítico no Ingress-NGINX via Injeção de Configuração (CVE-2025-1974 e mais)

Este repositório contém uma prova de conceito (PoC) de exploração para CVE-2025-1974, uma vulnerabilidade Crítica (CVSS 9.8) no controlador Ingress-NGINX para Kubernetes. Esta falha permite execução remota de código não autenticada por meio de injeção insegura de configuração ao usar o Controlador de Admissão Validador. É a mais grave de um conjunto de cinco vulnerabilidades divulgadas e corrigidas em 26 de março de 2025.

📌 Impacto:
• Versões Afetadas: Controlador Ingress-NGINX anteriores a v1.12.1 / v1.11.5
• Superfície de Ataque:
 • Explorável por qualquer carga de trabalho na rede do Pod — sem necessidade de credenciais ou privilégios de administrador
 • Atacantes podem injetar diretivas NGINX arbitrárias (ex.: content_by_lua_block) por meio de anotações como configuration-snippet
 • Quando combinado com configurações incorretas, atacantes podem exfiltrar Segredos ou obter comprometimento total do cluster
• Escopo:
 • O Ingress-NGINX geralmente tem acesso a todos os Segredos do cluster por padrão
 • Pods em uma VPC de nuvem típica ou rede corporativa podem alcançar o endpoint do controlador de admissão
 • Clusters afetados incluem aqueles executando Ingress-NGINX com controle de admissão ativado (padrão em muitas configurações)

🛡️ Mitigação:
• Atualize para Ingress-NGINX v1.12.1 ou v1.11.5
• Desabilite anotações arriscadas (configuration-snippet, server-snippet, etc.)
• Restrinja o acesso de rede ao Webhook de Admissão Validador
• Aplique RBAC rigoroso para evitar criação não autorizada de Ingress

🧪 Esta PoC demonstra como atacantes podem aproveitar a vulnerabilidade para executar código arbitrário dentro do pod do controlador ingress — que geralmente tem acesso a serviços internos e segredos — escalando para a tomada completa do cluster em configurações vulneráveis.

🚨 Aviso: Esta PoC é apenas para fins educacionais e de pesquisa. Não a utilize sem permissão explícita.