O Kubernetes divulgou recentemente a vulnerabilidade CVE-2021-25742, relacionada ao componente ingress-nginx. Atacantes podem explorar essa falha para usar o recurso de snippets personalizados e criar ou modifique Ingresses, obtendo todos os Secrets de um cluster. Este tópico descreve os impactos, as versões afetadas do ingress-nginx e as correções para essa vulnerabilidade.
A CVE-2021-25742 é classificada como de alta gravidade, com pontuação de 7,6 no Common Vulnerability Scoring System (CVSS).
Versões afetadas do ingress-nginx
As seguintes versões do ingress-nginx são afetadas:
v1.0.0
ingress-nginx 0.49.0 e anteriores
Essa vulnerabilidade foi corrigida nas seguintes versões do ingress-nginx:
v1.0.1
v0.49.1
Para mais informações sobre essa vulnerabilidade, consulte CVE-2021-25742.
Impactos
Em clusters multilocatários, se um usuário sem privilégios de administrador tiver permissão para criar e modifique Ingresses, ele poderá usar o recurso de snippets personalizados para obter todos os Secrets do cluster. Isso pode resultar em acesso não autorizado a outros locatários ou a informações confidenciais armazenadas no cluster.
Mitigação
Execute o comando a seguir para edite o ConfigMap nginx-configuration no namespace kube-system:
kubectl edit configmap -nkube-system nginx-configurationDefina allow-snippet-annotations como false:
data:
allow-snippet-annotations: "false"