紧急：发现NGINX Ingress Controller for Kubernetes中的新安全漏洞

最新推荐文章于 2024-05-11 20:15:19 发布
最新推荐文章于 2024-05-11 20:15:19 发布
阅读量396 收藏
点赞数
分类专栏： 网络安全资讯 文章标签： nginx kubernetes 运维 业界资讯 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_43681532/article/details/134148964
版权

在这里插入图片描述

导语


大家好，今天我要向大家紧急报告一则消息：我们在NGINX Ingress Controller for Kubernetes中发现了三个新的安全漏洞！这些漏洞可能被黑客利用，从集群中窃取机密凭据。在本文中，我们将详细介绍这些漏洞的细节，并提供解决方案。让我们一起来看看吧！

漏洞详情


最新披露的三个高危安全漏洞分别为CVE-2023-5043、CVE-2023-5044和CVE-2022-4886。这些漏洞使得攻击者可以通过控制Ingress对象的配置来窃取集群中的机密凭据。成功利用这些漏洞可能允许对入口控制器进程注入任意代码，并未经授权地访问敏感数据。

根据Kubernetes安全平台ARMO的CTO兼联合创始人Ben Hirschberg的说法，这些漏洞使得攻击者可以通过控制Ingress对象的配置来窃取集群中的机密凭据。他表示：“这些漏洞使得攻击者可以通过控制Ingress对象的配置来窃取集群中的机密凭据。” 对于CVE-2022-4886，由于“spec.rules[].http.paths[].path”字段中缺乏验证，攻击者可以通过访问Ingress对象来窃取Kubernetes API凭据。Hirschberg指出：“在Ingress对象中，操作员可以定义将哪个传入的HTTP路径路由到哪个内部路径。但是，受漏洞影响的应用程序未正确检查内部路径的有效性，它可以指向包含用于对API服务器进行身份验证的客户端凭据的内部文件。”

为了解决这些问题，软件维护人员已发布了一些缓解措施，包括启用“strict-validate-path-type”选项和设置–enable-annotation-validation标志，以防止创建带有无效字符和强制执行额外限制的Ingress对象。ARMO表示，将NGINX更新到1.19版本，并添加“–enable-annotation-validation”命令行配置，可以解决CVE-2023-5043和CVE-2023-5044。

“尽管这些漏洞指向不同的方向，但它们都指向同一个根本问题，” Hirschberg说道。“Ingress控制器通过设计具有访问TLS凭证和Kubernetes API的高权限范围，而且由于它们通常是公共互联网面向的组件，所以它们对通过它们进入集群的外部流量非常容易受到攻击。”

解决方案


为了确保您的集群安全，我们强烈建议您立即采取以下措施：

更新NGINX到最新版本1.19。

启用“–enable-annotation-validation”命令行配置。

启用“strict-validate-path-type”选项。

定期检查并更新您的集群的安全配置。

通过采取这些措施，您将能够保护您的集群免受这些安全漏洞的威胁，并提高您的系统安全性。

总结


在NGINX Ingress Controller for Kubernetes中发现的这些新的安全漏洞给我们敲响了警钟。我们必须意识到这些漏洞可能导致机密凭据的泄露，并采取相应的措施来保护我们的集群安全。通过更新NGINX到最新版本，并启用相关配置选项，我们可以有效地缓解这些漏洞的风险。让我们共同努力，确保我们的系统安全无虞！

肥胖喵
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
VSFTPD2.3.4笑脸漏洞复现
m0_60466340的博客
12-11 797
在vsftpd2.3.4版本中有一个后门 ，在检测到用户名带有特殊字符：）时，会自动打开6200端口。 复现过程： 用nmap扫面本网段内的主机，发现有打开21端口，用于传输ftp的主机 探测该主机的ftp服务器版本信息，可以看到该版本是存在笑脸漏洞的版本 用netcat连接该主机的21端口，输入带有：）的用户名，和随便一个password 这时候就是以root的权限登录了，可以通过netcat查看6200端口的用户信息 ...
NGINX-RCE:nginx的rce漏洞利用
04-04
NGINX-RCE nginx的rce漏洞利用 怎么运行呢？ 首先只需使用gcc gcc expl0itz.c -o expl0itz 然后chmod chmod +x expl0itz 像二进制文件一样运行之后！ ./expl0itz
修复VSFTPD漏洞——版本升级
ᠰᡝᠪᠵᡝᠨ的博客
12-26 4108
文章目录第一步：备份相关文件第二步：编译安装新版本的VSFTPD第三步：将编译完成后的文件拷贝到该去的地方第四步：修改service文件其它：配置文件主要配置升级过程中遇到的问题完整地service文件 第一步：备份相关文件 mkdir vsftpd-bak #创建目录，用来做配置文件备份 cd vsftpd-bak/ cp -R /etc/vsftpd ./vsftpdbak`date +%F-%T` #备份全部的配置文件 cp /etc/rc.d/init.d/vsftpd ./vsftpd.ser
2024年网络安全最全nginx 安全漏洞 (CVE-2024-23017)(1)，2024年最新腾讯T3大牛亲自讲解
最新发布
2401_84281703的博客
05-11 1140
Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完；在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察。
Nginx 安全漏洞（CVE-2022-3638）处理
企业实战系列集 ●●● https://ximenjianxue.blog.csdn.net
11-28 1万+
漏洞描述如下：nginx中发现的该漏洞会影响涉及IPv4连接断开的ngx_resolver.c文件某些未知处理过程，攻击者利用该漏洞在发起远程攻击，导致这个过程中触发内存泄漏。从发布的版本看，1.23.2版本并没有标明修复CVE-2022-3638漏洞，但看文件已经删除了下列代码，最好使用补丁编译。：该主机上Nginx为从其他主机整体打包后拷贝过来，启动运行的，后来升级时发现很多依赖项并未安装；2）下载后，将补丁覆盖源码包，重新编译或直接用1.23.2版本重新编译。
Linux 云服务器搭建 FTP 服务
JJJJJJJQK的博客
08-26 426
操作场景 Vsftpd（very secure FTP daemon）是众多 Linux 发行版中默认的 FTP 服务器。本文以 CentOS 7.6 64位操作系统的腾讯云服务器（CVM）为例，使用 vsftpd 软件搭建 Linux 云服务器的 FTP 服务。 示例软件版本 本文搭建 FTP 服务组成版本如下： Linux 操作系统：本文以公共镜像 CentOS 7.6 为例。 Vsftpd：本文以 vsftpd 3.0.2 为例。 操作步骤 步骤1：登录云服务器 使用标准方式登录 Lin
vsftpd一键安装（3.2版本）
05-18
vsftpd一键安装，升级到3.2，包含安装包、安装脚本、数据备份、详细说明。
ingress-nginx-4.0.17
02-18
《ingress-nginx-4.0.17：在Kubernetes中高效管理网络访问的利器》 ingress-nginx-4.0.17是专为Helm部署在Kubernetes（k8s）集群中的ingress-nginx控制器设计的图表资源。这个版本提供了稳定性和性能优化，使得对...
ingress-controller.tar.gz
05-06
在Kubernetes（k8s）集群中，Ingress Controller是一个至关重要的组件，它负责对外暴露服务，实现基于路径、域名等规则的路由管理。标题"ingress-controller.tar.gz"所指的压缩包文件包含了用于搭建Ingress ...
Kubernetes1.25资源文件
09-11
2. **custom-resources.yaml**: 在Kubernetes中，自定义资源定义（Custom Resources Definition, CRD）允许用户扩展API服务器，创建自己的资源类型。这个文件可能包含了定义Calico网络策略或者其他特定于集群的...
部署kubernetes所需的软件包
11-04
在部署Kubernetes（简称K8s）的过程中，你需要准备一系列的软件包来构建和管理容器化应用程序的集群。Kubernetes是一个强大的开源系统，用于自动化容器化的应用部署、扩展和管理，它提供了一种标准化的方式在分布式...
centos7下的vsftpd-3.0.4的rpm包
10-18
现有默认版本vsftpd-3.0.2。 修复 CVE-2021-3618、 CVE-2015-1419漏洞的3.0.4版本 适配centos7的rpm安装文件。
Kubernetes
02-12
在 Kubernetes 集群中，Master 节点负责整个集群的管理和调度，包括 API Server、Controller Manager、Scheduler 和 etcd 数据存储。这些组件协同工作，确保集群的正常运行。 - **API Server**：作为 Kubernetes ...
nginx中间件常见漏洞总结
好好睡觉
02-08 7797
nginx中间件漏洞、nginx路径解析漏洞、nginxCRLF漏洞、nginx文件名逻辑漏洞、nginx路径穿越漏洞、nginx http host请求头失效漏洞、nginx缓存泄露漏洞
nginx常见漏洞解析
qtttgeq的博客
04-06 1万+
0×1HTTP返回包头：就是httpresponsHTTP返回包体：就是请求的具体文件，例如出来个网页资源，网页内嵌套的内容等等。content-range是什么？range是什么？存在于HTTP请求头中，表示请求目标资源的部分内容，例如请求一个图片的前半部分，单位是byte，原则上从0开始，但今天介绍的是可以设置为负数。range的典型应用场景例如：断点续传、分批请求资源。content-range的表达方式：Range:bytes=0-1024 表示访问第0到第1024字节；
API安全产品，面试官都被搞懵了
2401_83974173的博客
04-13 586
这些策略通常会结合使用，以提高产品在市场中的知名度和竞争力。
nginx平滑升级解决 nginx 安全漏洞(CVE-2021-23017)和NGINX 环境问题漏洞(CVE-2019-20372)
weixin_44460932的博客
06-14 1万+
关于漏洞扫描nginx安全漏洞的修复。 服务器漏洞扫描中扫出了nginx的安全漏洞，nginx 安全漏洞(CVE-2021-23017)和NGINX 环境问题漏洞(CVE-2019-20372)，受影响版本为0.6.18-1.20.0；给出解决办法为升级补丁修复，由于漏洞较多考虑平滑升级。 官方下载渠道下载1.20.0以上版本的linux。下载地址： http://nginx.org/en/download.html 我使用的服务器是linux系统，推荐下载官网Stable version的1.22.0版
NGINX DNS解析漏洞(CVE-2021-23017)
淡定波的博客
07-02 1万+
一、漏洞情况说明： Nginx DNS解析漏洞(CVE-2021-23017): 在处理DNS响应时，ngx_resolver_copy()中的一个off-by-one错误将允许网络攻击者在堆分配的缓冲区中写入超出 边界的点字符（‘.’, 0x2E）。配置解析程序原语时，响应nginx服务器DNS请求的DNS响应可能会触发该漏洞。精心构造的数据包可以通过使用0x2E覆盖下一个堆块元数据的最低有效字节，此时，能够向nginx服务器提供DNS响应的网络攻击者可以实现拒绝服务攻击或远程代码执行攻击。 由于ngin
nginx安全漏洞(CVE-2021-23017)修复
热门推荐
皮皮虾的博客
07-26 5万+
nginx安全漏洞(CVE-2021-23017) 详细描述 Nginx是美国Nginx公司的一款轻量级Web服务器/反向代理服务器及电子邮件（IMAP/POP3）代理服务器。 nginx存在安全漏洞，该漏洞源于一个离一错误在该漏洞允许远程攻击者可利用该漏洞在目标系统上执行任意代码。 受影响版本：0.6.18-1.20.0 解决办法 厂商补丁: 目前厂商已发布升级补丁以修复漏洞，补丁获取链接： https://www.nginx.com/blog/updating-nginx-dns-reso
cve-2021-3618漏洞复现
02-06
CVE-2021-3618漏洞是指影响了Mozilla Firefox浏览器的一个安全漏洞。该漏洞的复现步骤如下： 1. 首先，你需要安装最新版本的Mozilla Firefox浏览器。确保你的浏览器已经更新到最新版本，因为最新版本通常会修复已知的漏洞。 2. 在Firefox浏览器中，打开一个新的标签页，并输入“about:config”（不包括引号）并按下Enter键。这将打开Firefox的高级配置页面。 3. 在搜索栏中输入“security.sandbox.content.level”（不包括引号），然后按下Enter键。你将看到一个名为“security.sandbox.content.level”的首选项。 4. 将“security.sandbox.content.level”的值更改为“0”（不包括引号）。这将禁用Firefox的内容沙箱。请注意，这将降低浏览器的安全性，请谨慎操作。 5. 关闭并重新启动Firefox浏览器，使更改生效。 6. 现在，你可以尝试复现CVE-2021-3618漏洞。使用Firefox浏览器访问一个存在安全漏洞的网站，如已知的恶意或受攻击的网站，或使用特定的payload触发漏洞。 7. 如果复现成功，可能会出现安全漏洞所导致的异常行为，比如系统崩溃、恶意代码执行等。如果没有出现异常行为，可能是因为已经修复了该漏洞或在你的环境中无法成功利用。 需要注意的是，复现CVE漏洞可能存在风险，并可能对你的计算机造成不可逆转的损害。这种操作只适用于在合法情况下进行安全测试和研究的专业人士，不推荐普通用户进行尝试。实施复现操作之前，请确认你已经了解并接受相关风险。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值