PT-2025-12714 · Unknown+1 · Ingress-Nginx+1
Nir Ohfeld
+2
·
Publicado
2025-03-23
·
Atualizado
2025-10-15
·
CVE-2025-1098
CVSS v2.0
9.0
Alta
| Vetor | AV:N/AC:L/Au:S/C:C/I:C/A:C |
Nome do Software Vulnerável e Versões Afetadas
Versões do ingress-nginx anteriores à v1.11.5
Versões do ingress-nginx v1.12.0-beta.0 até v1.12.1
Descrição
Existe uma vulnerabilidade de segurança no ingress-nginx em que as anotações Ingress
mirror-target e mirror-host podem ser exploradas para injetar configurações arbitrárias no nginx. A exploração bem-sucedida pode levar à execução arbitrária de código dentro do contexto do controlador ingress-nginx e à potencial divulgação de Secrets acessíveis ao controlador. Em uma instalação padrão, o controlador possui acesso a todos os Secrets em todo o cluster. O problema origina-se de anotações mirror não sanitizadas.Recomendações
Atualize para a versão 1.11.5 ou posterior do ingress-nginx.
Atualize para a versão 1.12.1 ou posterior do ingress-nginx.
Exploit
Correção
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Red Os
Ingress-Nginx