紧急：发现NGINX Ingress Controller for Kubernetes中的新安全漏洞

根据Kubernetes安全平台ARMO的CTO兼联合创始人Ben Hirschberg的说法，这些漏洞使得攻击者可以通过控制Ingress对象的配置来窃取集群中的机密凭据。他表示：“这些漏洞使得攻击者可以通过控制Ingress对象的配置来窃取集群中的机密凭据。” 对于CVE-2022-4886，由于“spec.rules[].http.paths[].path”字段中缺乏验证，攻击者可以通过访问Ingress对象来窃取Kubernetes API凭据。Hirschberg指出：“在Ingress对象中，操作员可以定义将哪个传入的HTTP路径路由到哪个内部路径。但是，受漏洞影响的应用程序未正确检查内部路径的有效性，它可以指向包含用于对API服务器进行身份验证的客户端凭据的内部文件。”

为了解决这些问题，软件维护人员已发布了一些缓解措施，包括启用“strict-validate-path-type”选项和设置–enable-annotation-validation标志，以防止创建带有无效字符和强制执行额外限制的Ingress对象。ARMO表示，将NGINX更新到1.19版本，并添加“–enable-annotation-validation”命令行配置，可以解决CVE-2023-5043和CVE-2023-5044。

“尽管这些漏洞指向不同的方向，但它们都指向同一个根本问题，” Hirschberg说道。“Ingress控制器通过设计具有访问TLS凭证和Kubernetes API的高权限范围，而且由于它们通常是公共互联网面向的组件，所以它们对通过它们进入集群的外部流量非常容易受到攻击。”

更新NGINX到最新版本1.19。

启用“–enable-annotation-validation”命令行配置。

启用“strict-validate-path-type”选项。

定期检查并更新您的集群的安全配置。

通过采取这些措施，您将能够保护您的集群免受这些安全漏洞的威胁，并提高您的系统安全性。