Jan-Otto Kröpke

**Nome do Software Vulnerável e Versões Afetadas** ingress-nginx (versões afetadas não especificadas) **Descrição** Existe uma vulnerabilidade de segurança no ingress-nginx na qual a anotação `nginx.ingress.kubernetes.io/auth-proxy-set-headers` pode ser utilizada para injetar configurações no nginx. Isso pode resultar em execução de código arbitrário no contexto do controlador ingress-nginx e possível divulgação de Secrets acessíveis ao controlador. Em uma instalação padrão, o controlador tem acesso a todos os Secrets em todo o cluster. A anotação `https://t.co/5vaSyCfUF2` também está envolvida nesse problema. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** ingress-nginx versions prior to v1.9.0 **Description** The issue is related to code injection via the `nginx.ingress.kubernetes.io/permanent-redirect` annotation in the ingress-nginx controller in a Kubernetes cluster. This can allow a remote attacker to inject arbitrary commands and potentially obtain the credentials of the ingress-nginx controller, which by default has access to all secrets in the cluster. **Recommendations** For versions prior to v1.9.0, update to version v1.9.0 or later to resolve the issue. As a temporary workaround, consider restricting access to the `nginx.ingress.kubernetes.io/permanent-redirect` annotation to minimize the risk of exploitation.