PT-2025-12715
CVE-2025-1974
·
تاريخ النشر
2025-03-23
·
تاريخ التحديث
2026-11-02
الوصف من
CVSS 2.0
10
حرجةالمقاييسAV:N/AC:L/Au:N/C:C/I:C/A:C
اسم البرنامج المصاب والإصدارات المتأثرة
k8s.io/ingress-nginx الإصدارات السابقة لـ 1.11.5
k8s.io/ingress-nginx الإصدارات من 1.12.0-beta.0 إلى 1.12.0
الوصف
توجد مشكلة أمنية في متحكم ingress-nginx الخاص بـ Kubernetes بسبب عدم كفاية التحقق من صحة البيانات المدخلة وعدم الفصل المكاني الكافي. يمكن لمهاجم غير مصرح له لديه وصول إلى شبكة pods إرسال طلب مصمم خصيصاً إلى نقطة نهاية webhook القبول على المنفذ 8443. يسمح هذا للمهاجم بحقن تكوينات NGINX خبيثة وتحقيق تنفيذ تعسفي للكود (RCE) في سياق المتحكم. قد يؤدي الاستغلال الناجح إلى الكشف عن أسرار (Secrets) Kubernetes التي يمكن للمتحكم الوصول إليها، والتي قد تشمل في التثبيتات الافتراضية جميع الأسرار على مستوى العنقود بالكامل، مما قد يمنح المهاجم سيطرة كاملة على عنقود Kubernetes.
التوصيات
تحديث k8s.io/ingress-nginx إلى الإصدار 1.11.5 أو أحدث.
تحديث k8s.io/ingress-nginx إلى الإصدار 1.12.1 أو أحدث.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى الشبكة لنقطة نهاية webhook القبول على المنفذ 8443 لتقليل مخاطر الاستغلال.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾