Новые уязвимости в Ingress-nginx для Kubernetes позволяют хакерам удаленно выполнять произвольный код

Недавно эксперты компании Wiz обнаружили пять критических уязвимостей (IngressNightmare) в контроллере Ingress Nginx — ключевом компоненте Kubernetes, который выполняет функции балансировщика нагрузки и обратного прокси. Эти уязвимости позволяют злоумышленникам удаленно выполнять произвольный код (RCE) и захватывать контроль над кластерами.

Про Ingress-nginx 

Ingress-nginx – это, по сути, "диспетчер" входящего в кластер трафика. Он управляет доменами, маршрутизирует входящие запросы, балансирует нагрузку, и обрабатывает ssl/tls-соединения и т.д. Контроллер позволяет внешнему миру связываться с приложениями, которые работают в кластере.

Nginx используется в качестве ревёрс-прокси, управляя входящим трафиком. Контроллер ingress-nginx анализирует URL и заголовки запроса, сверяя их с правилами, описанными в объекте Ingress.

Примеры:

example.com/api -> направляется в один сервис

example.com/web -> направляется в другой сервис

Здесь nginx создает внутри контроллера динамическую конфигурацию, которая позволяет ему перенаправлять трафик нужным приложениям.

Про уязвимости IngressNightmare

Несколько дней назад были опубликованы пять уязвимостей, связанных с контроллером ingress-nginx:

CVE-2025-1974 (9.8 Critical) — позволяет неавторизованному пользователю произвести удаленное выполнение кода

CVE-2025-24514 (8.8 High) — дает возможность выполнить инъекцию конфигурации через аннотацию auth-url из-за отсутствия санитизации данных запроса

CVE-2025-1097 (8.8 High) — позволяет осуществить инъекцию конфигурации через аннотацию auth-tls-match-cn из-за отсутствия санитизации данных запроса

CVE-2025-1098 (8.8 High) — позволяет выполнить инъекцию конфигурации через аннотацию mirror-target и mirror-host из-за отсутствия санитизации данных запроса

CVE-202