Alerta Crítica: Vulnerabilidad “IngressNightmare” en Kubernetes Permite Ejecución Remota de Código

Recientemente, se han identificado cinco vulnerabilidades críticas en el Ingress NGINX Controller para Kubernetes, denominadas colectivamente como “IngressNightmare”. Estas fallas podrían permitir la ejecución remota de código sin autenticación, poniendo en riesgo inmediato a más de 6,500 clústeres expuestos a Internet.

Detalles de las Vulnerabilidades

Las vulnerabilidades, con un puntaje CVSS de 9.8, son las siguientes:

• CVE-2025-24514: Falla en la manipulación de la anotación auth-url, que permite a los atacantes inyectar y ejecutar comandos arbitrarios en el servidor.

• CVE-2025-1097: Inyección de parámetros en auth-tls-match-cn, permitiendo eludir la autenticación y obtener acceso no autorizado a servicios protegidos.

• CVE-2025-1098: Manipulación del UID de mirror, lo que podría ser explotado para redirigir tráfico o capturar datos sensibles.

• CVE-2025-1974: Vulnerabilidad que permite la ejecución de código a través de la configuración de NGINX, permitiendo a un atacante tomar control del servicio afectado.

Estas fallas afectan el componente del controlador de admisión del Ingress NGINX Controller. Un atacante podría enviar objetos de ingreso maliciosos directamente al controlador de admisión, lo que resultaría en la ejecución de código en el pod del Ingress NGINX Controller.

Etapas de Explotación de la Vulnerabilidad

1. Reconocimiento: El atacante identifica clústeres Kubernetes expuestos y determina si están utilizando una versión vulnerable de Ingress NGINX Controller.

2. Envió de objetos maliciosos: Se envía un objeto de ingreso con anotaciones manipuladas para explotar las vulnerabilidades identificadas.

3. Ejecución de código: El servidor procesa la solicitud y ejecuta comandos arbitrarios dentro del pod del controlador de Ingress.

4. Escalada de privilegios: Una vez comprometido el pod, el atacante intenta moverse lateralmente dentro del clúster y obtener acceso a secretos y otros recursos sensibles.

5. Persistencia y explotación: Se establecen mecanismos de persistencia para mantener el acceso y exfiltrar datos o ejecutar ataques adicionales.

Impacto Potencial

La explotación de estas vulnerabilidades puede otorgar a los atacantes acceso no autorizado a todos los secretos almacenados en todos los espacios de nombres dentro del clúster de Kubernetes, lo que podría conducir a la toma de control completa del clúster.

Medidas de Mitigación 

1. Actualización inmediata: Actualizar el Ingress NGINX Controller a las versiones 1.12.1, 1.11.5 o 1.10.7, donde estas vulnerabilidades han sido corregidas.

2. Restricción de acceso: Asegurar que el endpoint del webhook de admisión no esté expuesto externamente y que solo el servidor API de Kubernetes tenga acceso al controlador de admisión.

3. Deshabilitar componentes innecesarios: Si el controlador de admisión no es esencial para las operaciones del clúster, considerar deshabilitarlo temporalmente para reducir la superficie de ataque.

4. Validación de anotaciones: Habilitar la validación de anotaciones para prevenir inyecciones maliciosas, configurando el flag --enable-annotation-validation.

5. Revisión de permisos: Limitar los permisos de creación y modificación de objetos de ingreso solo a usuarios y servicios de confianza, reduciendo así el riesgo de que se introduzcan configuraciones maliciosas.

Es esencial que los administradores de sistemas y equipos de seguridad implementen estas medidas de mitigación de manera inmediata para proteger sus entornos Kubernetes de posibles explotaciones derivadas de estas vulnerabilidades.