导语
大家好，今天我要向大家紧急报告一则消息：我们在NGINX Ingress Controller for Kubernetes中发现了三个新的安全漏洞！这些漏洞可能被黑客利用，从集群中窃取机密凭据。在本文中，我们将详细介绍这些漏洞的细节，并提供解决方案。让我们一起来看看吧！
漏洞详情
最新披露的三个高危安全漏洞分别为CVE-2023-5043、CVE-2023-5044和CVE-2022-4886。这些漏洞使得攻击者可以通过控制Ingress对象的配置来窃取集群中的机密凭据。成功利用这些漏洞可能允许对入口控制器进程注入任意代码，并未经授权地访问敏感数据。
根据Kubernetes安全平台ARMO的CTO兼联合创始人Ben Hirschberg的说法，这些漏洞使得攻击者可以通过控制Ingress对象的配置来窃取集群中的机密凭据。他表示：“这些漏洞使得攻击者可以通过控制Ingress对象的配置来窃取集群中的机密凭据。” 对于CVE-2022-4886，由于“spec.rules[].http.paths[].path”字段中缺乏验证，攻击者可以通过访问Ingress对象来窃取Kubernetes API凭据。Hirschberg指出：“在Ingress对象中，操作员可以定义将哪个传入的HTTP路径路由到哪个内部路径。但是，受漏洞影响的应用程序未正确检查内部路径的有效性，它可以指向包含用于对API服务器进行身份验证的客户端凭据的内部文件。”
为了解决这些问题，软件维护人员已发布了一些缓解措施，包括启用“strict-validate-path-type”选项和设置–enable-annotation-validation标志，以防止创建带有无效字符和强制执行额外限制的Ingress对象。ARMO表示，将NGINX更新到1.19版本，并添加“–enable-annotation-validation”命令行配置，可以解决CVE-2023-5043和CVE-2023-5044。
“尽管这些漏洞指向不同的方向，但它们都指向同一个根本问题，” Hirschberg说道。“Ingress控制器通过设计具有访问TLS凭证和Kubernetes API的高权限范围，而且由于它们通常是公共互联网面向的组件，所以它们对通过它们进入集群的外部流量非常容易受到攻击。”
解决方案
为了确保您的集群安全，我们强烈建议您立即采取以下措施：
更新NGINX到最新版本1.19。
启用“–enable-annotation-validation”命令行配置。
启用“strict-validate-path-type”选项。
定期检查并更新您的集群的安全配置。
通过采取这些措施，您将能够保护您的集群免受这些安全漏洞的威胁，并提高您的系统安全性。
总结
在NGINX Ingress Controller for Kubernetes中发现的这些新的安全漏洞给我们敲响了警钟。我们必须意识到这些漏洞可能导致机密凭据的泄露，并采取相应的措施来保护我们的集群安全。通过更新NGINX到最新版本，并启用相关配置选项，我们可以有效地缓解这些漏洞的风险。让我们共同努力，确保我们的系统安全无虞！
