Vvvvvvvvvvel

توجد مشكلة في المصادقة من نوع «fail-open» في موفر NGINX الخاص بـ Kubernetes Ingress. عندما يقوم Ingress بتمكين BasicAuth أو DigestAuth صراحةً باستخدام التعليقات التوضيحية `nginx.ingress.kubernetes.io/auth-type` و`nginx.ingress.kubernetes.io/auth-secret`، ولكن سر المصادقة المشار إليه مفقود أو غير صحيح أو غير قابل للقراءة أو مرفوض بموجب السياسة، يفشل النظام في تطبيق الضوابط الأمنية اللازمة. بدلاً من حظر الوصول، يقوم Traefik بتسجيل خطأ التحليل، ويتخطى تثبيت البرمجيات الوسيطة للمصادقة، ويستمر في إنشاء موجه إلى الخدمة الخلفية. وهذا يسمح بالوصول غير المصادق عليه إلى الخدمات الخلفية التي كان المشغلون يهدفون إلى حمايتها.

توجد مشكلة في مزود Kubernetes Gateway تتعلق بقائمة السماح `crossProviderNamespaces`. عندما تحدد قواعد `HTTPRoute` عدة `backendRefs` (Weighted Round Robin)، يقوم النظام بتقييم قائمة السماح مقابل `backendRef.namespace` المستهدف بدلاً من مساحة الاسم الخاصة بالمسار نفسه. وهذا يسمح لـ `HTTPRoute` التي تم إنشاؤها في مساحة أسماء غير مدرجة في قائمة السماح بالإشارة إلى مكونات `TraefikService` الداخلية عبر مزودي الخدمة، مثل `api@internal` أو `dashboard@internal` أو `rest@internal`، عن طريق توجيه `backendRef.namespace` إلى مساحة أسماء مدرجة في قائمة السماح تحتوي على `ReferenceGrant` مطابق لواجهة برمجة تطبيقات البوابة (Gateway API). ينتج عن ذلك كشف خدمات Traefik الداخلية على مستوى البيانات. يتطلب استغلال هذه الثغرة القدرة على إنشاء مسار `HTTPRoute` مقبول و`ReferenceGrant` مطابق من مساحة اسم مدرجة في قائمة المسموح بها.