🚨 Тест внедрения логов через Admission Controller Ingress-NGINX

🧠 Обзор

Этот скрипт проверяет уязвимости внедрения аннотаций в кластерах Kubernetes с помощью контроллера NGINX Ingress. Он предназначен только для целей обнаружения в связи с CVE-2025-1974, которая позволяет вредоносным аннотациям влиять на конфигурацию NGINX.

📚 Предыстория

Уязвимость, раскрытая Wiz.io (пост в блоге), заключается во внедрении аннотаций, которые некорректно обрабатываются контроллером. Например:

nginx.ingress.kubernetes.io/auth-url: "http://placeholder/#; error_log /root/this_path_shouldnt_exist.log debug; #"

Это может привести к неожиданному поведению конфигурации NGINX и ошибкам разрешений при обработке. В более продвинутых сценариях такой тип внедрения может быть объединен с другими ошибками конфигурации для достижения удаленного выполнения кода (RCE).

🛠️ Что делает этот скрипт

1. Загружает подготовленную полезную нагрузку AdmissionReview из YAML-файла.
2. Отправляет её в конечную точку /validate контроллера допуска.
3. Предлагает пользователю проверить журналы контроллера ingress для получения результатов.

📁 Файлы

• admission_review.yaml: Содержит подготовленный запрос AdmissionReview.
• main.py: Отправляет полезную нагрузку контроллеру.

🚀 Использование

Сначала перенаправьте порт контроллера допуска:

kubectl port-forward -n ingress-nginx svc/ingress-nginx-controller-admission 8443:443

Затем выполните:

python main.py --url https://localhost:8443

🔍 Ожидаемый результат

Проверьте журналы контроллера ingress:

kubectl logs -n ingress-nginx -l app.kubernetes.io/component=controller

Вы можете увидеть:

nginx: [emerg] open() "/root/this_path_shouldnt_exist.log" failed (13: Permission denied)

Это указывает на то, что аннотация была некорректно выполнена как директива.

⚠️ Предупреждение

Только для образовательного и авторизованного тестирования. Не запускайте на системах без разрешения.

🔗 Ссылки

• Блог Wiz: Breaking Ingress NGINX
• Аннотации NGINX Ingress
• CVE-2025-1974

Используйте этот инструмент, чтобы проверить, уязвим ли ваш кластер к внедрению аннотаций через NGINX Ingress. Эксплуатация этой уязвимости может быть частью более широкой цепочки атак, ведущей к удаленному выполнению кода.