压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

01?漏洞詳情

影響組件

Ingress-nginx是Kubernetes官方維護的Ingress控制器，基于NGINX反向代理實現(xiàn)，通過監(jiān)聽集群中Ingress資源的定義動態(tài)生成并更新NGINX配置，負責(zé)將外部HTTP/HTTPS流量路由至集群內(nèi)部服務(wù)，支持負載均衡、TLS終止、路徑重寫等特性，是Kubernetes生態(tài)中應(yīng)用最廣泛的入口流量管理組件之一。

漏洞描述

近日，奇安信CERT監(jiān)測到官方修復(fù)Ingress NGINX Controller 遠程代碼執(zhí)行漏洞(CVE-2025-1974)，該漏洞源于Ingress NGINX Controller沒有充分驗證ingress配置，攻擊者可偽造AdmissionReview請求加載惡意共享庫執(zhí)行任意代碼，訪問 Kubernetes 集群敏感信息等。目前該漏洞技術(shù)細節(jié)與POC已在互聯(lián)網(wǎng)上公開，鑒于該漏洞影響范圍較大，建議客戶盡快做好自查及防護。

02?影響范圍

影響版本

ingress-nginx <= 1.12.0

ingress-nginx <= 1.11.4

其他受影響組件

無

03?復(fù)現(xiàn)情況

目前，奇安信威脅情報中心安全研究員已成功復(fù)現(xiàn)Ingress NGINX Controller 遠程代碼執(zhí)行漏洞(CVE-2025-1974)，截圖如下：

04?受影響資產(chǎn)情況

奇安信鷹圖資產(chǎn)測繪平臺數(shù)據(jù)顯示，Ingress NGINX Controller 遠程代碼執(zhí)行漏洞(CVE-2025-1974)關(guān)聯(lián)的國內(nèi)風(fēng)險資產(chǎn)總數(shù)為1601個，關(guān)聯(lián)IP總數(shù)為1544個。全球風(fēng)險資產(chǎn)分布情況如下：

Ingress NGINX Controller 遠程代碼執(zhí)行漏洞(CVE-2025-1974)關(guān)聯(lián)的全球風(fēng)險資產(chǎn)總數(shù)為10615個，關(guān)聯(lián)IP總數(shù)為10582個。全球風(fēng)險資產(chǎn)分布情況如下：

05?處置建議

安全更新

目前官方已發(fā)布安全更新，建議用戶盡快升級至最新版本：

https://kubernetes.io/blog/2025/03/24/ingress-nginx-cve-2025-1974/

06?參考資料

[1]https://kubernetes.io/blog/2025/03/24/ingress-nginx-cve-2025-1974/

[2]https://https//github.com/kubernetes/kubernetes/issues/131009

聲明：本文來自奇安信 CERT，稿件和圖片版權(quán)均歸原作者所有。所涉觀點不代表東方安全立場，轉(zhuǎn)載目的在于傳遞更多信息。如有侵權(quán)，請聯(lián)系rhliu@skdlabs.com，我們將及時按原作者或權(quán)利人的意愿予以更正。