：Memperbarui NGINX Ingress controller

Pemeriksaan validasi NGINX asli dinonaktifkan secara default

Versi yang terpengaruh: versi lebih awal dari v1.11.5-aliyun.1

Untuk memperbaiki CVE-2025-1974, mulai dari v1.11.5-aliyun.1, NGINX Ingress Controller menonaktifkan validasi konfigurasi NGINX asli secara default (setara dengan logika nginx -t). Meskipun webhook validasi tetap diaktifkan untuk komponen tersebut, ia tidak memvalidasi konfigurasi yang didefinisikan dalam anotasi snippet. Hanya anotasi non-snippet yang menjalani validasi. Untuk konfigurasi snippet, validitas harus diverifikasi melalui log kesalahan runtime yang dihasilkan oleh NGINX. Untuk detail kerentanan, lihat Advisori Keamanan untuk Kerentanan CVE-2025-1097, CVE-2025-1098, CVE-2025-1974, CVE-2025-24513, dan CVE-2025-24514.

Jika Anda menggunakan anotasi snippet, jalankan perintah berikut setelah setiap modifikasi snippet untuk memantau log pod NGINX Ingress Controller untuk kesalahan konfigurasi:

kubectl logs -f <Nginx-ingress-pod-name> -n kube-system |grep Error

Untuk mempertahankan kemampuan validasi NGINX asli, aktifkan secara manual dengan menambahkan parameter enable-nginx-native-validation: "true" ke kube-system/nginx-configuration ConfigMap setelah evaluasi risiko menyeluruh.

Anotasi snippet dinonaktifkan secara default

Versi yang terpengaruh: versi lebih awal dari v1.9.3-aliyun.1.

Untuk tujuan keamanan, NGINX Ingress Controller v1.9.3-aliyun.1 dan versi lebih baru melarang anotasi snippet.

• nginx.ingress.kubernetes.io/configuration-snippet

• nginx.ingress.kubernetes.io/server-snippet

• nginx.ingress.kubernetes.io/stream-snippet

• nginx.ingress.kubernetes.io/auth-snippet

• nginx.ingress.kubernetes.io/modsecurity-snippet

Untuk memastikan keamanan dan stabilitas, jika Anda ingin menggunakan fitur tertentu, kami sarankan Anda menggunakan anotasi atau pengaturan yang sesuai sebagai ganti anotasi snippet.

Jika Anda ingin menggunakan anotasi snippet, evaluasi risiko dan tambahkan allow-snippet-annotations: "true" ke kube-system/nginx-configuration ConfigMap untuk mengizinkan anotasi snippet.

Ketidakcocokan dengan versi TLS lebih awal

Versi yang terpengaruh: versi lebih awal dari v1.7.0-aliyun.1.

TLS 1.1 dan versi lebih awal memiliki masalah keamanan. NGINX Ingress Controller tidak lagi mendukung versi TLS berikut: TLS 1.1 dan TLS 1.0. Sebelum Anda memperbarui NGINX Ingress Controller, pastikan bahwa layanan Anda tidak bergantung pada TLS 1.1 atau versi lebih awal, dan TLS 1.1 serta versi lebih awal telah dihapus dari pengaturan TLS layanan Anda. Perubahan pada ConfigMap berlaku segera.

Konten berikut menunjukkan contoh pengaturan TLS dalam ConfigMap nginx-configuration dari NGINX Ingress Controller di namespace kube-system:

ssl-protocols: SSLv3 SSLv2 TLSv1 TLSv1.1 TLSv1.2 TLSv1.3

Setelah memverifikasi bahwa layanan Anda tidak bergantung pada TLS 1.1 atau versi lebih awal, Anda dapat menghapus baris konfigurasi ini untuk menggunakan pengaturan TLS default. Anda juga dapat menghapus TLS 1.1, TLS 1.0, SSL 3.0, dan SSL 2.0 dari pengaturan TLS. Contoh:

ssl-protocols: TLSv1.2 TLSv1.3

Jika Anda ingin menggunakan versi TLS yang lebih lama, lengkapi konfigurasi dengan merujuk pada dokumen yang diperlukan. Untuk informasi lebih lanjut, lihat bagian Protokol SSL atau TLS mana yang didukung oleh Ingress? dari topik "FAQ Nginx Ingress".

Masalah ketidakcocokan terkait anotasi nginx.ingress.kubernetes.io/rewrite-target

Versi yang terpengaruh: versi lebih awal dari 0.22.0.

• NGINX Ingress Controller 0.22.0 menambahkan perubahan pada cara menggunakan anotasi nginx.ingress.kubernetes.io/rewrite-target. Di NGINX Ingress Controller 0.22.0 dan versi lebih baru, Anda perlu secara eksplisit menentukan grup penangkapan jika ingin menggunakan anotasi rewrite-target.

• Anotasi rewrite-target dalam versi NGINX Ingress Controller lebih awal dari 0.22.0 tidak kompatibel dengan anotasi rewrite-target dalam versi yang lebih baru. Sebelum Anda memperbarui NGINX Ingress Controller, ganti rewrite-target dengan configuration-snippet.

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
  name: rewrite
  namespace: default
spec:
  rules:
  - host: rewrite.bar.com
    http:
      paths:
      - path: /something/
        pathType: Prefix
        backend:
          service:
            name: http-svc
            port:
              number: 80
      - path: /something123/
        pathType: Prefix
        backend:
          service:
            name: http-svc-1
            port:
              number: 80

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    # Gunakan anotasi rewrite. /something menunjukkan jalur, tidak termasuk garis miring (/) di akhir. 
    # Jika Ingress mencakup beberapa jalur, tambahkan jumlah anotasi rewrite yang sama. 
    nginx.ingress.kubernetes.io/configuration-snippet: |
      rewrite "(?i)/something(/|$)(.*)" /$2 break;
      rewrite "(?i)/something123(/|$)(.*)" /$2 break;
  name: rewrite
  namespace: default
spec:
  rules:
  - host: rewrite.bar.com
    http:
      paths:
      - path: /something/ # Pertahankan nilai yang sama dengan jalur Ingress di versi sebelumnya. 
        pathType: Prefix
        backend:
          service:
            name: http-svc
            port:
              number: 80
      - path: /something123/ # Pertahankan nilai yang sama dengan jalur Ingress di versi sebelumnya. 
        pathType: Prefix
        backend:
          service:
            name: http-svc-1
            port:
              number: 80

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    # Referensi konten yang cocok. 
    nginx.ingress.kubernetes.io/rewrite-target: /$2
  name: rewrite
  namespace: default
spec:
  rules:
  - host: rewrite.bar.com
    http:
      paths:
      # Gunakan grup penangkapan. 
      - path: /something(/|$)(.*)
        pathType: Prefix
        backend:
          service:
            name: http-svc
            port:
              number: 80
      # Gunakan grup penangkapan. 
      - path: /something123(/|$)(.*)
        pathType: Prefix
        backend:
          service:
            name: http-svc-1
            port:
              number: 80

Verifikasi status NGINX Ingress controller dan beban kerja

Selain kemampuan pemantauan ACK, ACK juga memungkinkan Anda menggunakan Layanan Log Sederhana, Managed Service for Prometheus dashboard, dan log kontainer untuk memantau status NGINX Ingress Controller. Untuk mengaktifkan layanan di atas, lihat Analisis dan pantau log akses nginx-ingress-controller dan Gunakan Managed Service for Prometheus.

Masalah yang Diketahui

Perbedaan dalam pencocokan awalan mungkin ada di berbagai versi NGINX Ingress Controller, yang berpotensi menyebabkan masalah akses layanan.

• Pada versi lebih awal dari 0.44, aturan pencocokan awalan bersifat longgar. Misalnya, awalan /aaa/bbb dapat cocok dengan /aaa/bbbbb dalam URL permintaan.

• Setelah pembaruan, aturan pencocokan awalan menjadi lebih ketat dan hanya cocok dengan URL permintaan yang tepat. Dalam contoh di atas, /aaa/bbbbb dalam URL permintaan tidak cocok. Sebagai gantinya, kode status 404 dikembalikan.

Ruang Lingkup Dampak

NGINX Ingress Controller versi lebih awal dari v0.44 terpengaruh. Untuk informasi lebih lanjut tentang catatan rilis, lihat NGINX Ingress Controller. Untuk informasi terkait pull request, lihat kubernetes/ingress-nginx #6443.

Konfigurasi Contoh

Anda dapat menggunakan template YAML berikut untuk membandingkan konfigurasi NGINX yangdirender oleh NGINX Ingress Controller versi berbeda, seperti 0.22.0.5-552e0db-aliyun (versi lebih awal) dan 1.2.1-aliyun.1+ (versi lebih baru).

  apiVersion: extensions/v1beta1
  kind: Ingress
  metadata:
    labels:
      ingress-controller: nginx
    name: test
    namespace: default
  spec:
    ingressClassName: nginx
    rules:
    - host: www.example.com
      http:
        paths:
        - backend:
            service:
              name: api-resources-svc
              port:
                number: 8080
          path: /api/resource

• Dalam versi lebih awal

  Dalam versi seperti 0.22.0.5-552e0db-aliyun, konfigurasi NGINX adalah:

  Location /api/resource   # Jalur tidak berakhir dengan garis miring (/). 

  Dalam konfigurasi di atas, jalur /api/resource mengizinkan akses dari http://www.example.com/api/resource dalam versi NGINX yang lebih lama.

  Catatan

  Jalur permintaan sebenarnya adalah resources, bukan resource.

• Dalam versi lebih baru

  Jika NGINX Ingress Controller diperbarui ke versi lebih baru seperti 1.2.1-aliyun.1+, konfigurasi NGINX adalah:

  Location /api/resource/  # Jalur berakhir dengan garis miring (/).
  {
  }
  ...
  Location = /api/resource  # Lokasi lain ditambahkan untuk pencocokan tepat.
  {
  }

  Kode status HTTP 404 dikembalikan jika Anda mencoba mengakses http://www.example.com/api/resources.

Bisakah saya memperbarui NGINX Ingress controller ke versi tertentu? Setelah pembaruan berhasil, bisakah saya kembali ke versi sebelumnya?

Anda tidak dapat memperbarui NGINX Ingress Controller ke versi tertentu. NGINX Ingress Controller diperbarui secara bertahap dan hanya dapat diperbarui ke versi terbaru. Setelah pembaruan selesai, pembaruan tidak dapat dikembalikan.

Apa yang harus saya lakukan jika pod gagal dibuat selama fase verifikasi dan rilis?

Apa yang harus saya lakukan jika template Deployment gagal melewati pemeriksaan?

Jika template Deployment gagal melewati pemeriksaan, klik hyperlink di sebelah kanan Cause untuk pergi ke halaman Perbandingan Komponen. Anda dapat melihat parameter komponen yang gagal melewati pemeriksaan.

1. Di halaman NGINX Ingress Controller Update, klik View Details di bawah Precheck.

2. Di bagian Cluster Components Result dari halaman Report, klik hasil dalam kotak merah yang ditandai dengan ①. Di tab Result, klik Deployment Template. Lalu, klik hyperlink di sebelah kanan Cause yang ditandai dengan ②.

   

3. Di halaman Component Comparison, Anda dapat melihat parameter komponen yang gagal melewati pemeriksaan.

   Di halaman Perbandingan Komponen, template komponen standar ditampilkan di sebelah kiri dan template komponen saat ini ditampilkan di sebelah kanan. Halaman Perbandingan Komponen menampilkan perbedaan antara template, termasuk parameter yang kompatibel dan tidak kompatibel, serta mencantumkan perbedaan di bagian bawah halaman. Halaman Perbandingan Komponen juga menunjukkan apakah komponen melewati pemeriksaan dan menampilkan parameter yang menyebabkan perbedaan.

   Dalam gambar berikut, perbedaan ditemukan antara template dan parameter yang menyebabkan perbedaan adalah .spec.template.spec.containers.(nginx-ingress-controller).args. nginx-ingress-controller adalah nama kontainer tempat parameter tersebut berada. Hasil perbandingan menunjukkan bahwa --v=2 ditentukan dalam parameter args di template standar, sedangkan --v=3 ditentukan dalam parameter args di template saat ini. Anda harus memodifikasi parameter args sebelum memperbarui komponen.

   

4. Modifikasi parameter yang menyebabkan perbedaan.

   Di panel navigasi kiri, pilih Workloads > Deployments. Di halaman Deployment, temukan NGINX Ingress controller dan pilih More > View in YAML di kolom Tindakan. Di kotak dialog Edit YAML, ubah nilai parameter args dari --v=3 menjadi --v=2.

5. Setelah Anda memodifikasi parameter args, Anda dapat menyegarkan halaman Perbandingan Komponen untuk memeriksa apakah perbedaan telah diperbaiki. Jika The component passes the comparison check. ditampilkan di bagian bawah halaman, template Deployment melewati pemeriksaan.

   Catatan

   Sistem memulai ulang pod NGINX Ingress Controller untuk menerapkan modifikasi pada Deployment. Kami sarankan Anda melakukan operasi terkait selama jam sepi.