PT-2024-5586 · Unknown+1 · Ingress-Nginx+1
André Storfjord Kristiansen
+1
·
Publicado
2024-08-16
·
Atualizado
2025-09-04
·
CVE-2024-7646
CVSS v2.0
9.0
Alta
| Vetor | AV:N/AC:L/Au:S/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Versões do ingress-nginx anteriores à 1.12
Descrição
Foi descoberta uma falha de segurança no ingress-nginx, na qual um invasor com permissão para criar objetos Ingress pode contornar a validação de anotações para injetar comandos arbitrários e obter as credenciais do controlador do ingress-nginx. Na configuração padrão, essas credenciais têm acesso a todos os segredos do cluster. A vulnerabilidade permite que um invasor injete conteúdo malicioso em determinadas anotações, contornando as verificações de validação previstas, o que pode levar à injeção de comandos arbitrários e ao acesso potencial aos segredos do cluster.
Recomendações
Para versões anteriores à 1.12, atualize para a versão 1.12 ou posterior para resolver o problema.
Como solução alternativa temporária, considere restringir o uso de determinadas anotações nos recursos do Ingress para minimizar o risco de exploração.
Correção
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Red Os
Ingress-Nginx