forum.opennet.ru - "Уязвимости в ingress-nginx, позволяющие выполнить код и захватить управление кластерами Kubernetes" (54)

"Уязвимости в ingress-nginx, позволяющие выполнить код и захватить управление кластерами Kubernetes"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Уязвимости в ingress-nginx, позволяющие выполнить код и захватить управление кластерами Kubernetes"	+/–
Сообщение от opennews (??), 25-Мрт-25, 14:27
В развиваемом проектом Kubernetes ingress-контроллере ingress-nginx выявлены четыре уязвимости, позволяющие добиться выполнения своего кода на серверах облачных систем, использующих платформу Kubernete, и получить полный привилегированный доступ к кластеру Kubernete. Проблемам присвоен критический уровень опасности (9.8 из 10). Выявившие проблемы исследователи присвоили уязвимостям кодовое имя IngressNightmare и отметили, что уязвимости затрагивают около 43% облачных окружений. Уязвимости устранены в версиях ingress-nginx 1.11.5 и 1.12.1... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=62946
Ответить \| Правка \| Cообщить модератору

Оглавление

кто-то использует софт без сертификата фстек , Аноним (1), 14:27 , 25-Мрт-25, (1) –15

https www kommersant ru doc 7498300, Аноним (8), 15:01 , 25-Мрт-25, (8) –1
Как это вообще поможет Спойлер Никак , Аноним (32), 16:55 , 25-Мрт-25, (32) +2

Сертификат и правда был смешным ещё пару лет назад Но теперь я с удивлением узна, Ivan_83 (ok), 17:22 , 25-Мрт-25, (37) –1
Просто пробежаться опытным взглядом по процессу удаления временного файла Стоп , Аноним (40), 17:45 , 25-Мрт-25, (40) –1

потому что нужен Местные эксперты не знают даже о типовой последовательности ope, нах. (?), 17:56 , 25-Мрт-25, (44)

Самый экспертный ответ из всех экспертных , Аноним (63), 21:47 , 25-Мрт-25, (63)

Зато у тебя будет не просто вулн - а сертифицированный , Аноним (-), 21:27 , 25-Мрт-25, (62)

Так ФСТЭК сертификаты часто выдают российским форкам открытых зарубежных аналого, myster (ok), 18:38 , 25-Мрт-25, (45) +3

Не означает вообще ни разу Потому что и патчи можно бэкпортировать и вообще мног, Ivan_83 (ok), 20:40 , 25-Мрт-25, (56) +1

на расте тоже можно проги с нуля писать, но этого почему-то никто не делает, 12yoexpert (ok), 21:08 , 25-Мрт-25, (57)
Фантазер А про переписать нормально - фантазер в кубе , Аноним (63), 21:50 , 25-Мрт-25, (64)

все у кого есть мозг если мозга нет то можно с сертификатом фстек, Аноним (59), 21:11 , 25-Мрт-25, (59)

Вот это дырень Особенно если учитывать, что под капотом многих cloud-решений то, bdrbt (ok), 14:33 , 25-Мрт-25, (3)

под капотом облачных сред обычно KVM, а внутри виртуалки будет сидеть кубер и на, penetrator (?), 16:33 , 25-Мрт-25, (29)

Бегаешь из треда в тред со своим уникальным определением смысла слова 171 клас, Аноним (53), 20:30 , 25-Мрт-25, (53) –1

учи терминологию, penetrator (?), 23:19 , 25-Мрт-25, (65)

Haha Classic Как не умели в RAII так и не умеют , Аноним (-), 14:36 , 25-Мрт-25, (4) –2

А где вы тут отсутствие RAII увидели , мимо проходил (?), 14:47 , 25-Мрт-25, (5)

Resource Acquisition Is Initialization or RAII, is a C programming technique w, penetrator (?), 16:35 , 25-Мрт-25, (30)

Так там дескриптор не закрывается пока используется временный файл, т е пока эт, мимо проходил (?), 17:19 , 25-Мрт-25, (35) +3

Научи нас, о великий гуру RAII, озари нас своей мудростью, Аноним (6), 14:53 , 25-Мрт-25, (6) +1

ну ладно, ладно, так и бытьВНЕМЛИТЕ Когда файл вам уже не нужен - закройте файло, Аноним (-), 14:58 , 25-Мрт-25, (7) –3

А если он вам понадобится через секунду - умрите от того, что чьё-то кривое поде, bdrbt (ok), 15:08 , 25-Мрт-25, (10) –1

Ну конечно альтернатива в виде атакующий может получить доступ к хранимым внутр, Аноним (-), 15:10 , 25-Мрт-25, (11)

Ингрес - это просто реверс прокси всего кластера, вряд-ли там можно получить дос, bdrbt (ok), 15:21 , 25-Мрт-25, (14)

Файл нуженю Учитесь читать , anonymous (??), 17:26 , 25-Мрт-25, (39) +1

тут не про RAIIэто делается чтобы файл не отсвечивал на диске, в т ч после паде, Аноним (22), 15:55 , 25-Мрт-25, (22)

одно я не пойму - нах я из дикого интернета надо принимать какие-то там детали, нах. (?), 15:38 , 25-Мрт-25, (20)

Никто и не принимает из интернета Но обычно в компаниях несколько групп разрабо, SubGun (ok), 16:10 , 25-Мрт-25, (23)

а где у нас еще бывает ingres Ну ок, что-то сугубовнутрикорпоративное, вместо и, нах. (?), 17:09 , 25-Мрт-25, (33)
Им всем надо иметь доступ на сервер с актуальными данными Или они заранее напис, Аноним (40), 17:51 , 25-Мрт-25, (43)

у нас конь Тиниус дизинтегрейшн У них доступа на сервер в принципе-то нет, а в, нах. (?), 23:35 , 25-Мрт-25, (68)

В исследовании таки говорится про 6500 кластеров, где admission выставлен в publ, Аноним (52), 20:29 , 25-Мрт-25, (52)

и как им пользоваться тогда, неопубликованным , нах. (?), 20:36 , 25-Мрт-25, (54)

судя по всему, это хинди, т е вы правы, 12yoexpert (ok), 21:11 , 25-Мрт-25, (58)

А что не 10 из 10 Клоуны, Аноним (24), 16:17 , 25-Мрт-25, (24) +1

10 из 10 это когда заэксплойтить сможет кто угодно и пароль админки прям на глав, myster (ok), 18:48 , 25-Мрт-25, (46)

А на чём написан Ingress NGINX Controller for Kubernetes Go87 6 Lua7 5 Shell2 8, Аноним (25), 16:18 , 25-Мрт-25, (25) +2

Значит все врут Го свят и защищает от всего , Аноним (27), 16:28 , 25-Мрт-25, (27) +3
Но и не на Rust Вот и думайте , Аноним (38), 17:23 , 25-Мрт-25, (38)

Чё, реально покажет уязвимый контроллер Хоть бы селектор по версии сделали , Аноним (26), 16:28 , 25-Мрт-25, (26) +1

Так уязвимость и оставят Чтобы сохранить совместимость , Аноним (27), 16:30 , 25-Мрт-25, (28) +1
конечно покажет и не один Зачем тебе селектор, если они - все уязвимые - Ту, нах. (?), 17:16 , 25-Мрт-25, (34)

Вообще концепция ингрессов в кубере уже объявлена устаревшей Вместо неё Gateway, Аноним (26), 17:46 , 25-Мрт-25, (41) +1

теперь будем перед ним еще один nginx держать , нах. (?), 17:49 , 25-Мрт-25, (42)

Вот это вкуснятину завезли, ещё и эксплуатируется легко, можно легко повторить в, Аноним (49), 19:31 , 25-Мрт-25, (49)
А вот я чуял неладное и всегда просил девопсов брать официальный nginx-овский ku, Аноним (51), 20:23 , 25-Мрт-25, (51) +1
Дыра уровня дефолтной монги на 0 0 0 0 без пароля с большего Вот откуда эти уяз, Аноним (53), 20:39 , 25-Мрт-25, (55)

Скрыто модератором, нах. (?), 23:31 , 25-Мрт-25, (66)

что там опять кто-то в трёх ямлах заблудился , 12yoexpert (ok), 21:13 , 25-Мрт-25, (61) –1
Скрыто модератором, Аноним (67), 23:34 , 25-Мрт-25, (67)
Как по мне это именно бага в nginx В документации написано -t 8212 test the c, Аноним (69), 23:52 , 25-Мрт-25, (69)

Когда читал начало новости первым делом задумался - а не опасно ли в nginx перед, Аноним (69), 23:54 , 25-Мрт-25, (70)

Сообщения [Сортировка по времени | RSS]

1. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." –15 +/–

Сообщение от Аноним (1), 25-Мрт-25, 14:27

кто-то использует софт без сертификата фстек?

Ответить | Правка | Наверх | Cообщить модератору

8. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." –1 +/–

Сообщение от Аноним (8), 25-Мрт-25, 15:01

https://www.kommersant.ru/doc/7498300

Ответить | Правка | Наверх | Cообщить модератору

32. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +2 +/–

Сообщение от Аноним (32), 25-Мрт-25, 16:55

Как это вообще поможет? (Спойлер: Никак)

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

37. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." –1 +/–

Сообщение от Ivan_83 (ok), 25-Мрт-25, 17:22

Сертификат и правда был смешным ещё пару лет назад.
Но теперь я с удивлением узнал что там вполне грамотные ребята которые требуют чтобы всякие фазинги реально делали и они даже способны отличить по выхлопу что реально рабочее от того что сделано для виду.
В общем такими темпами серт реально станет знаком качества.

Ответить | Правка | Наверх | Cообщить модератору

40. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." –1 +/–

Сообщение от Аноним (40), 25-Мрт-25, 17:45

Просто пробежаться опытным взглядом по процессу удаления временного файла. Стоп. Почему не удаляется дескриптор?

Ответить | Правка | К родителю #32 | Наверх | Cообщить модератору

44. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от нах. (?), 25-Мрт-25, 17:56

> Просто пробежаться опытным взглядом по процессу удаления временного файла. Стоп. Почему
> не удаляется дескриптор?
потому что нужен.
Местные эксперты не знают даже о типовой последовательности open/mkstemp & unlink и почему делается именно так?

Ответить | Правка | Наверх | Cообщить модератору

63. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от Аноним (63), 25-Мрт-25, 21:47

> потому что нужен.
Самый экспертный ответ из всех экспертных.

Ответить | Правка | Наверх | Cообщить модератору

62. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от Аноним (-), 25-Мрт-25, 21:27

> Как это вообще поможет? (Спойлер: Никак)
Зато у тебя будет не просто вулн - а сертифицированный.

Ответить | Правка | К родителю #32 | Наверх | Cообщить модератору

45. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +3 +/–

Сообщение от myster (ok), 25-Мрт-25, 18:38

Так ФСТЭК сертификаты часто выдают российским форкам открытых зарубежных аналогов, апстримы которых уже на несколько лет ушли вперед по версиям. Уже только этот факт означает, что в этих продуктах полно уязвимостей.
К тому же эти российские крахоборы, закрывают исходный код, ведут разработку продукта закрыто и продают его по конским ценам. А даже если им платят за "поддержку" их поддержка мало в чём разбирается, чтобы помоч с проблемой.

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

56. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +1 +/–

Сообщение от Ivan_83 (ok), 25-Мрт-25, 20:40

> апстримы которых уже на несколько лет ушли вперед по версиям. Уже только этот факт означает, что в этих продуктах полно уязвимостей.
Не означает вообще ни разу.
Потому что и патчи можно бэкпортировать и вообще многое переписать нормально.
У вас когнитивное искажение которое проявляется в том, что форки всегда отстают от того что считается официальным апстримом.
Это далеко не так.
Я форкнул sshfs пару лет назад и прилично его причесал внутри, отрефакторил. Апстрим ничего такого и близко не сделал, и изменения я им не засылал потому что мне не впёрлось тратить время на это.
А ФСТЭК сейчас реально дрючит, по настоящему и за проверки анализаторами и чтобы фаззинг по настоящему делали и всякое остальное.
Многим апстримам такое нафик не впёрлось и они это не делают сами.

Ответить | Правка | Наверх | Cообщить модератору

57. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от 12yoexpert (ok), 25-Мрт-25, 21:08

> Потому что и патчи можно бэкпортировать и вообще многое переписать нормально.
на расте тоже можно проги с нуля писать, но этого почему-то никто не делает

Ответить | Правка | Наверх | Cообщить модератору

64. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от Аноним (63), 25-Мрт-25, 21:50

> Потому что и патчи можно бэкпортировать и вообще многое переписать нормально.
Фантазер. А про переписать нормально - фантазер в кубе.

Ответить | Правка | К родителю #56 | Наверх | Cообщить модератору

59. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от Аноним (59), 25-Мрт-25, 21:11

все у кого есть мозг. если мозга нет то можно с сертификатом фстек

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

3. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от bdrbt (ok), 25-Мрт-25, 14:33

Вот это дырень! Особенно если учитывать, что под капотом многих cloud-решений тот же кубер c nginx-ингресом, только "сбоку брэндовый шильдик", кажется там не 43%. Даже если с него нельзя будет провалиться внутрь всего кластера, всётаки ингрес считается "серым" ресурсом, и его пускают только туда куда можно, но у многих на нём http2, quic и тому подобные https даунгрейдится в http1.1 вобщем будем посмотреть чем это всё закончится.

Ответить | Правка | Наверх | Cообщить модератору

29. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от penetrator (?), 25-Мрт-25, 16:33

под капотом облачных сред обычно KVM, а внутри виртуалки будет сидеть кубер и называться это будет чем-то вроде AKS и cluster management, хотя эта виртуализированная шляпа никогда не станет кластером, обычная оркестрация притом как мы видим дырявая, но это и логично, больше компонентов - больше векторов атаки

Ответить | Правка | Наверх | Cообщить модератору

53. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." –1 +/–

Сообщение от Аноним (53), 25-Мрт-25, 20:30

Бегаешь из треда в тред со своим уникальным определением смысла слова «кластер». Как, помогает? Всех уже переучил говорить на свой лад?

Ответить | Правка | Наверх | Cообщить модератору

65. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от penetrator (?), 25-Мрт-25, 23:19

учи терминологию

Ответить | Правка | Наверх | Cообщить модератору

4. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." –2 +/–

Сообщение от Аноним (-), 25-Мрт-25, 14:36

>  при обработке больших запросов nginx сохраняет тело запроса
> во временном файле, который сразу удаляется, но в файловой
> системе "/proc" для этого файла остаётся открытый файловый
> дескриптор.
Haha. Classic.
Как не умели в RAII так и не умеют.

Ответить | Правка | Наверх | Cообщить модератору

5. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от мимо проходил (?), 25-Мрт-25, 14:47

А где вы тут отсутствие RAII увидели ?

Ответить | Правка | Наверх | Cообщить модератору

30. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от penetrator (?), 25-Мрт-25, 16:35

Resource Acquisition Is Initialization or RAII, is a C++ programming technique which binds the life cycle of a resource that must be acquired before use (allocated heap memory, thread of execution, open socket, open file, locked mutex, disk space, database connection—anything that exists in limited supply) to the lifetime of an object.
C точки зрения терминологии он вообщем-то прав. Другое дело, что его коментарий бесполезный. Гримасничает в чате и всё...

Ответить | Правка | Наверх | Cообщить модератору

35. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +3 +/–

Сообщение от мимо проходил (?), 25-Мрт-25, 17:19

Так там дескриптор не закрывается пока используется временный файл, т.е. пока этот самый дескриптор нужен.
А после использования штатно закрывается.
Полное соответствие RAII, если его сюда приклеить.
А проблема в том, что любой открытый дескриптор виден в /proc/{PID|self}, даже если сам файл уже удалён.
Т.е. проблема к RAII никакого отношения не имеет.
Скорее это похоже на дыры в Java/C# из-за интроспекции "с бантиками".

Ответить | Правка | Наверх | Cообщить модератору

6. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +1 +/–

Сообщение от Аноним (6), 25-Мрт-25, 14:53

Научи нас, о великий гуру RAII, озари нас своей мудростью

Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

7. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." –3 +/–

Сообщение от Аноним (-), 25-Мрт-25, 14:58

> Научи нас, о великий гуру RAII, озари нас своей мудростью
ну ладно, ладно, так и быть
ВНЕМЛИТЕ!
Когда файл вам уже не нужен - закройте файловый дескриптор!

Ответить | Правка | Наверх | Cообщить модератору

10. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." –1 +/–

Сообщение от bdrbt (ok), 25-Мрт-25, 15:08

> ВНЕМЛИТЕ!
> Когда файл вам уже не нужен - закройте файловый дескриптор!
А если он вам понадобится через секунду - умрите от того, что чьё-то кривое поделие сожрало все доступные дескрипторы, ок, ты в медицинском на патологоанатома учился?

Ответить | Правка | Наверх | Cообщить модератору

11. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от Аноним (-), 25-Мрт-25, 15:10

> умрите от того, что чьё-то кривое поделие сожрало все доступные дескрипторы
Ну конечно альтернатива в виде "атакующий может получить доступ к хранимым внутри pod-окружения параметрам, достаточным для управления всем кластером." намного лучше!

Ответить | Правка | Наверх | Cообщить модератору

14. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от bdrbt (ok), 25-Мрт-25, 15:21

>> умрите от того, что чьё-то кривое поделие сожрало все доступные дескрипторы
> Ну конечно альтернатива в виде "атакующий может получить доступ к хранимым внутри
> pod-окружения параметрам, достаточным для управления всем кластером." намного лучше!
Ингрес - это просто реверс прокси всего кластера, вряд-ли там можно получить доступ ко всему кластеру, а вот устроить MitM - можно во все поля, и приватный ключ от сертификата угнать.

Ответить | Правка | Наверх | Cообщить модератору

39. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +1 +/–

Сообщение от anonymous (??), 25-Мрт-25, 17:26

Файл нуженю Учитесь читать.

Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

22. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от Аноним (22), 25-Мрт-25, 15:55

тут не про RAII
это делается чтобы файл не отсвечивал на диске, в т.ч. после падения

Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

20. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от нах. (?), 25-Мрт-25, 15:38

одно я не пойму - нах...я из дикого интернета надо принимать какие-то там детали конфигурации да еще и "проверять" автоматически?  (что, что тут может пойти не так?!)
Это модный-современный-девляпс подход, инфраструктурка Ass in cocococode, конфигурация сервера сегодня передается вместе с формочкой, да?
А виноват-то во всем конечно же nginx.

Ответить | Правка | Наверх | Cообщить модератору

23. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от SubGun (ok), 25-Мрт-25, 16:10

Никто и не принимает из интернета. Но обычно в компаниях несколько групп разработчиков, в том числе и удаленных. Ты же каждому отдельным кластер не выделяешь?!

Ответить | Правка | Наверх | Cообщить модератору

33. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от нах. (?), 25-Мрт-25, 17:09

> Никто и не принимает из интернета.
а где у нас еще бывает ingres? Ну ок, что-то сугубовнутрикорпоративное, вместо интернета в сетку на десять тыщ сотрудников половины которой никто никогда кроме как на экране не видел (да и кто на тот экран смотрел-то) - чем лучше?
> Но обычно в компаниях несколько групп разработчиков, в том числе и удаленных. Ты же
> каждому отдельным кластер не выделяешь?!
вообще-то именно что каждому проекту выделяем. Потому что multi-tenant в кубере... э... такоэ себе.
Да и их битвы за ресурс пусть протекают под другим ковром, а не в нашей стойке.

Ответить | Правка | Наверх | Cообщить модератору

43. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от Аноним (40), 25-Мрт-25, 17:51

>несколько групп разработчиков
Им всем надо иметь доступ на сервер с актуальными данными?
Или они заранее написали дебаг версию инструментария под себя и выкатили в продакшан?

Ответить | Правка | К родителю #23 | Наверх | Cообщить модератору

68. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от нах. (?), 25-Мрт-25, 23:35

> Им всем надо иметь доступ на сервер с актуальными данными?
у нас конь. Тиниус дизинтегрейшн. У них доступа на сервер в принципе-то нет, а вот у ихнего my ass code - есть, а больше, как видишь, ничего и не надо было.
Отдельно занимательно уточнить - многие ли могут себе позволить ДВА кластера для одного и того же прожекта, на одном разработчики а на другом...э... тоже разработчики но с "актуальными данными" - а не перемешаны в одном и том же и тестовые поды и прод.

Ответить | Правка | Наверх | Cообщить модератору

52. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от Аноним (52), 25-Мрт-25, 20:29

> Никто и не принимает из интернета
В исследовании таки говорится про 6500 кластеров, где admission выставлен в public internet. Тоже не понял, кто и зачем его выставляет, по умолчанию он не публикуется, конечно

Ответить | Правка | К родителю #23 | Наверх | Cообщить модератору

54. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от нах. (?), 25-Мрт-25, 20:36

и как им пользоваться тогда, неопубликованным?

Ответить | Правка | Наверх | Cообщить модератору

58. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от 12yoexpert (ok), 25-Мрт-25, 21:11

> Ass in cocococode
судя по всему, это хинди, т.е. вы правы

Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

24. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +1 +/–

Сообщение от Аноним (24), 25-Мрт-25, 16:17

> критический уровень опасности (9.8 из 10).
А что не 10 из 10? Клоуны

Ответить | Правка | Наверх | Cообщить модератору

46. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от myster (ok), 25-Мрт-25, 18:48

10 из 10 это когда заэксплойтить сможет кто угодно и пароль админки прям на главной странице

Ответить | Правка | Наверх | Cообщить модератору

25. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +2 +/–

Сообщение от Аноним (25), 25-Мрт-25, 16:18

А на чём написан Ingress NGINX Controller for Kubernetes ?
Go
87.6%

Lua
7.5%

Shell
2.8%
Не на С.

Ответить | Правка | Наверх | Cообщить модератору

27. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +3 +/–

Сообщение от Аноним (27), 25-Мрт-25, 16:28

Значит все врут. Го свят и защищает от всего.

Ответить | Правка | Наверх | Cообщить модератору

38. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от Аноним (38), 25-Мрт-25, 17:23

Но и не на Rust. Вот и думайте.

Ответить | Правка | К родителю #25 | Наверх | Cообщить модератору

26. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +1 +/–

Сообщение от Аноним (26), 25-Мрт-25, 16:28

> Для проверки использования уязвимого ingress-nginx можно выполнить команду:
>   kubectl get pods --all-namespaces --selector app.kubernetes.io/name=ingress-nginx
Чё, реально покажет "уязвимый" контроллер? Хоть бы селектор по версии сделали...

Ответить | Правка | Наверх | Cообщить модератору

28. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +1 +/–

Сообщение от Аноним (27), 25-Мрт-25, 16:30

Так уязвимость и оставят. Чтобы сохранить совместимость)

Ответить | Правка | Наверх | Cообщить модератору

34. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от нах. (?), 25-Мрт-25, 17:16

>> Для проверки использования уязвимого ingress-nginx можно выполнить команду:
>>   kubectl get pods --all-namespaces --selector app.kubernetes.io/name=ingress-nginx
> Чё, реально покажет "уязвимый" контроллер? Хоть бы селектор по версии сделали...
конечно покажет (и не один). Зачем тебе селектор, если они - все уязвимые? ;-)
Тут намекают что надо на какой-нибудь caddy перелезать - типа, нет конфига, вот и нет дыры в его тестировании ;-)

Ответить | Правка | К родителю #26 | Наверх | Cообщить модератору

41. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +1 +/–

Сообщение от Аноним (26), 25-Мрт-25, 17:46

Вообще концепция ингрессов в кубере уже объявлена устаревшей. Вместо неё GatewayAPI теперь.

Ответить | Правка | Наверх | Cообщить модератору

42. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от нах. (?), 25-Мрт-25, 17:49

> Вообще концепция ингрессов в кубере уже объявлена устаревшей. Вместо неё GatewayAPI теперь.
теперь будем перед ним еще один nginx держать?

Ответить | Правка | Наверх | Cообщить модератору

49. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от Аноним (49), 25-Мрт-25, 19:31

Вот это вкуснятину завезли, ещё и эксплуатируется легко, можно легко повторить в лабе и можно в путь!

Ответить | Правка | Наверх | Cообщить модератору

51. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +1 +/–

Сообщение от Аноним (51), 25-Мрт-25, 20:23

А вот я чуял неладное и всегда просил девопсов брать официальный nginx-овский kubernetes-ingress, хоть он и менее фичастый. Уж слишком там стремные костыли на lua-модуле.
Не зря

Ответить | Правка | Наверх | Cообщить модератору

55. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от Аноним (53), 25-Мрт-25, 20:39

> общедоступные уязвимые контроллеры с открытым для внешних запросов обработчиком Admission
Дыра уровня дефолтной монги на 0.0.0.0 без пароля с большего. Вот откуда эти уязвимых 6500 кластеров взялись — вопрос куда более интересный. Не со StackOverflow накопипастили же?
Алсо, сабж в проде — махровое эникейство. Сойдёт только для совсем уж непритязательных локалхостов.

Ответить | Правка | Наверх | Cообщить модератору

66. Скрыто модератором +/–

Сообщение от нах. (?), 25-Мрт-25, 23:31

> Не со StackOverflow накопипастили же?
То есть как это - не?
А откуда по-твоему мы копипастить-то должны?! Ну то есть напрямую со стека теперь только неудачники и ретрограды, конечно, нормальные пацаны спрашивают чатгопоту, но у той источник вдохновения ровно тот же самый.
> Алсо, сабж в проде — махровое эникейство. Сойдёт только для совсем уж непритязательных
> локалхостов.
6500 локалхостов. И еще наверное в десять раз больше таких у которых такой же ингрес но до admission они стековерфлов не дочитали, и он не включен.


Ответить | Правка | Наверх | Cообщить модератору

61. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." –1 +/–

Сообщение от 12yoexpert (ok), 25-Мрт-25, 21:13

что там? опять кто-то в трёх ямлах заблудился?

Ответить | Правка | Наверх | Cообщить модератору

67. Скрыто модератором +/–

Сообщение от Аноним (67), 25-Мрт-25, 23:34

Я правильно понимаю, что бы адмишен контроллеру чёт скормить нужно доступ в кластер с ролью create/edit для ингресс?

Ответить | Правка | Наверх | Cообщить модератору

69. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от Аноним (69), 25-Мрт-25, 23:52

Как по мне это именно бага в nginx.
В документации написано:
-t — test the configuration file: nginx checks the configuration for correct syntax, and then tries to open files referred in the configuration.
Т.е. проверка на синтаксис и попытка открытия файлов. Не сказано, что КОД из этих файлов БУДЕТ ИСПОЛНЯТЬСЯ. Да и не должен он запускаться. На то он и тест.
Другой вопрос как полнее проверить настройки SSL не запуская код из библиотеки. Возможно никак.

Ответить | Правка | Наверх | Cообщить модератору

70. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..." +/–

Сообщение от Аноним (69), 25-Мрт-25, 23:54

Когда читал начало новости первым делом задумался - а не опасно ли в nginx передавать конфиг извне. Смотрю - это всего лишь для проверки синтаксиса. Ну думаю не опасно значит. Т.е. тут именно поведение nginx неожиданное.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	–15 +/–
Сообщение от Аноним (1), 25-Мрт-25, 14:27
кто-то использует софт без сертификата фстек?
Ответить \| Правка \| Наверх \| Cообщить модератору


	8. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	–1 +/–
	Сообщение от Аноним (8), 25-Мрт-25, 15:01
	https://www.kommersant.ru/doc/7498300
	Ответить \| Правка \| Наверх \| Cообщить модератору


	32. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	+2 +/–
	Сообщение от Аноним (32), 25-Мрт-25, 16:55
	Как это вообще поможет? (Спойлер: Никак)
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору


	37. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	–1 +/–
	Сообщение от Ivan_83 (ok), 25-Мрт-25, 17:22
	Сертификат и правда был смешным ещё пару лет назад. Но теперь я с удивлением узнал что там вполне грамотные ребята которые требуют чтобы всякие фазинги реально делали и они даже способны отличить по выхлопу что реально рабочее от того что сделано для виду. В общем такими темпами серт реально станет знаком качества.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	40. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	–1 +/–
	Сообщение от Аноним (40), 25-Мрт-25, 17:45
	Просто пробежаться опытным взглядом по процессу удаления временного файла. Стоп. Почему не удаляется дескриптор?
	Ответить \| Правка \| К родителю #32 \| Наверх \| Cообщить модератору


	44. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	+/–
	Сообщение от нах. (?), 25-Мрт-25, 17:56
	> Просто пробежаться опытным взглядом по процессу удаления временного файла. Стоп. Почему > не удаляется дескриптор? потому что нужен. Местные эксперты не знают даже о типовой последовательности open/mkstemp & unlink и почему делается именно так?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	63. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	+/–
	Сообщение от Аноним (63), 25-Мрт-25, 21:47
	> потому что нужен. Самый экспертный ответ из всех экспертных.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	62. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	+/–
	Сообщение от Аноним (-), 25-Мрт-25, 21:27
	> Как это вообще поможет? (Спойлер: Никак) Зато у тебя будет не просто вулн - а сертифицированный.
	Ответить \| Правка \| К родителю #32 \| Наверх \| Cообщить модератору


	45. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	+3 +/–
	Сообщение от myster (ok), 25-Мрт-25, 18:38
	Так ФСТЭК сертификаты часто выдают российским форкам открытых зарубежных аналогов, апстримы которых уже на несколько лет ушли вперед по версиям. Уже только этот факт означает, что в этих продуктах полно уязвимостей. К тому же эти российские крахоборы, закрывают исходный код, ведут разработку продукта закрыто и продают его по конским ценам. А даже если им платят за "поддержку" их поддержка мало в чём разбирается, чтобы помоч с проблемой.
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору


	56. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	+1 +/–
	Сообщение от Ivan_83 (ok), 25-Мрт-25, 20:40
	> апстримы которых уже на несколько лет ушли вперед по версиям. Уже только этот факт означает, что в этих продуктах полно уязвимостей. Не означает вообще ни разу. Потому что и патчи можно бэкпортировать и вообще многое переписать нормально. У вас когнитивное искажение которое проявляется в том, что форки всегда отстают от того что считается официальным апстримом. Это далеко не так. Я форкнул sshfs пару лет назад и прилично его причесал внутри, отрефакторил. Апстрим ничего такого и близко не сделал, и изменения я им не засылал потому что мне не впёрлось тратить время на это. А ФСТЭК сейчас реально дрючит, по настоящему и за проверки анализаторами и чтобы фаззинг по настоящему делали и всякое остальное. Многим апстримам такое нафик не впёрлось и они это не делают сами.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	57. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	+/–
	Сообщение от 12yoexpert (ok), 25-Мрт-25, 21:08
	> Потому что и патчи можно бэкпортировать и вообще многое переписать нормально. на расте тоже можно проги с нуля писать, но этого почему-то никто не делает
	Ответить \| Правка \| Наверх \| Cообщить модератору


	64. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	+/–
	Сообщение от Аноним (63), 25-Мрт-25, 21:50
	> Потому что и патчи можно бэкпортировать и вообще многое переписать нормально. Фантазер. А про переписать нормально - фантазер в кубе.
	Ответить \| Правка \| К родителю #56 \| Наверх \| Cообщить модератору


	59. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	+/–
	Сообщение от Аноним (59), 25-Мрт-25, 21:11
	все у кого есть мозг. если мозга нет то можно с сертификатом фстек
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору

3. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	+/–
Сообщение от bdrbt (ok), 25-Мрт-25, 14:33
Вот это дырень! Особенно если учитывать, что под капотом многих cloud-решений тот же кубер c nginx-ингресом, только "сбоку брэндовый шильдик", кажется там не 43%. Даже если с него нельзя будет провалиться внутрь всего кластера, всётаки ингрес считается "серым" ресурсом, и его пускают только туда куда можно, но у многих на нём http2, quic и тому подобные https даунгрейдится в http1.1 вобщем будем посмотреть чем это всё закончится.
Ответить \| Правка \| Наверх \| Cообщить модератору


	29. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	+/–
	Сообщение от penetrator (?), 25-Мрт-25, 16:33
	под капотом облачных сред обычно KVM, а внутри виртуалки будет сидеть кубер и называться это будет чем-то вроде AKS и cluster management, хотя эта виртуализированная шляпа никогда не станет кластером, обычная оркестрация притом как мы видим дырявая, но это и логично, больше компонентов - больше векторов атаки
	Ответить \| Правка \| Наверх \| Cообщить модератору


	53. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	–1 +/–
	Сообщение от Аноним (53), 25-Мрт-25, 20:30
	Бегаешь из треда в тред со своим уникальным определением смысла слова «кластер». Как, помогает? Всех уже переучил говорить на свой лад?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	65. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	+/–
	Сообщение от penetrator (?), 25-Мрт-25, 23:19
	учи терминологию
	Ответить \| Правка \| Наверх \| Cообщить модератору

4. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	–2 +/–
Сообщение от Аноним (-), 25-Мрт-25, 14:36
> при обработке больших запросов nginx сохраняет тело запроса > во временном файле, который сразу удаляется, но в файловой > системе "/proc" для этого файла остаётся открытый файловый > дескриптор. Haha. Classic. Как не умели в RAII так и не умеют.
Ответить \| Правка \| Наверх \| Cообщить модератору


	5. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	+/–
	Сообщение от мимо проходил (?), 25-Мрт-25, 14:47
	А где вы тут отсутствие RAII увидели ?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	30. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	+/–
	Сообщение от penetrator (?), 25-Мрт-25, 16:35
	Resource Acquisition Is Initialization or RAII, is a C++ programming technique which binds the life cycle of a resource that must be acquired before use (allocated heap memory, thread of execution, open socket, open file, locked mutex, disk space, database connection—anything that exists in limited supply) to the lifetime of an object. C точки зрения терминологии он вообщем-то прав. Другое дело, что его коментарий бесполезный. Гримасничает в чате и всё...
	Ответить \| Правка \| Наверх \| Cообщить модератору


	35. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	+3 +/–
	Сообщение от мимо проходил (?), 25-Мрт-25, 17:19
	Так там дескриптор не закрывается пока используется временный файл, т.е. пока этот самый дескриптор нужен. А после использования штатно закрывается. Полное соответствие RAII, если его сюда приклеить. А проблема в том, что любой открытый дескриптор виден в /proc/{PID\|self}, даже если сам файл уже удалён. Т.е. проблема к RAII никакого отношения не имеет. Скорее это похоже на дыры в Java/C# из-за интроспекции "с бантиками".
	Ответить \| Правка \| Наверх \| Cообщить модератору


	6. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	+1 +/–
	Сообщение от Аноним (6), 25-Мрт-25, 14:53
	Научи нас, о великий гуру RAII, озари нас своей мудростью
	Ответить \| Правка \| К родителю #4 \| Наверх \| Cообщить модератору


	7. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	–3 +/–
	Сообщение от Аноним (-), 25-Мрт-25, 14:58
	> Научи нас, о великий гуру RAII, озари нас своей мудростью ну ладно, ладно, так и быть ВНЕМЛИТЕ! Когда файл вам уже не нужен - закройте файловый дескриптор!
	Ответить \| Правка \| Наверх \| Cообщить модератору


	10. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	–1 +/–
	Сообщение от bdrbt (ok), 25-Мрт-25, 15:08
	> ВНЕМЛИТЕ! > Когда файл вам уже не нужен - закройте файловый дескриптор! А если он вам понадобится через секунду - умрите от того, что чьё-то кривое поделие сожрало все доступные дескрипторы, ок, ты в медицинском на патологоанатома учился?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	11. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	+/–
	Сообщение от Аноним (-), 25-Мрт-25, 15:10
	> умрите от того, что чьё-то кривое поделие сожрало все доступные дескрипторы Ну конечно альтернатива в виде "атакующий может получить доступ к хранимым внутри pod-окружения параметрам, достаточным для управления всем кластером." намного лучше!
	Ответить \| Правка \| Наверх \| Cообщить модератору


	14. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	+/–
	Сообщение от bdrbt (ok), 25-Мрт-25, 15:21
	>> умрите от того, что чьё-то кривое поделие сожрало все доступные дескрипторы > Ну конечно альтернатива в виде "атакующий может получить доступ к хранимым внутри > pod-окружения параметрам, достаточным для управления всем кластером." намного лучше! Ингрес - это просто реверс прокси всего кластера, вряд-ли там можно получить доступ ко всему кластеру, а вот устроить MitM - можно во все поля, и приватный ключ от сертификата угнать.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	39. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	+1 +/–
	Сообщение от anonymous (??), 25-Мрт-25, 17:26
	Файл нуженю Учитесь читать.
	Ответить \| Правка \| К родителю #7 \| Наверх \| Cообщить модератору


	22. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	+/–
	Сообщение от Аноним (22), 25-Мрт-25, 15:55
	тут не про RAII это делается чтобы файл не отсвечивал на диске, в т.ч. после падения
	Ответить \| Правка \| К родителю #4 \| Наверх \| Cообщить модератору

20. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	+/–
Сообщение от нах. (?), 25-Мрт-25, 15:38
одно я не пойму - нах...я из дикого интернета надо принимать какие-то там детали конфигурации да еще и "проверять" автоматически? (что, что тут может пойти не так?!) Это модный-современный-девляпс подход, инфраструктурка Ass in cocococode, конфигурация сервера сегодня передается вместе с формочкой, да? А виноват-то во всем конечно же nginx.
Ответить \| Правка \| Наверх \| Cообщить модератору


	23. "Уязвимости в ingress-nginx, позволяющие выполнить код и захв..."	+/–
	Сообщение от SubGun (ok), 25-Мрт-25, 16:10
	Никто и не принимает из интернета. Но обычно в компаниях несколько групп разработчиков, в том числе и удаленных. Ты же каждому отдельным кластер не выделяешь?!
	Ответить \| Правка \| Наверх \| Cообщить модератору