Unknown · Ingress-Nginx · CVE-2021-25742
**Nome do software vulnerável e versões afetadas**
Versões do ingress-nginx anteriores à v0.49.1 e anteriores à v1.0.1
**Descrição**
Foi descoberta uma falha de segurança na qual um usuário com permissão para criar ou atualizar objetos de ingress pode usar o recurso de snippets personalizados para obter todos os segredos no cluster. Isso é particularmente crítico em ambientes multilocatários, onde usuários não administradores têm permissão para criar recursos de Ingress. O recurso de snippets personalizados permite que um usuário execute código arbitrário por meio de Lua no Nginx, o que pode levar ao acesso ao token da conta de serviço e aos segredos em todos os namespaces.
**Recomendações**
Para resolver o problema, atualize o ingress-nginx para a versão >= v0.49.1 ou >= v1.0.1.
Além disso, defina allow-snippet-annotations como false no ConfigMap para impedir a exploração.