Команда Kubernetes опубликовала информацию о критической уязвимости — CVE-2025-1974, которая затрагивает Ingress-NGINX контроллер и может привести к удалённому выполнению кода (RCE) внутри кластера.
Что за уязвимость
Если вы используете аннотацию
nginx.ingress.kubernetes.io/configuration-snippet,то через неё можно внедрить вредоносный код прямо в конфигурацию nginx внутри пода. При определённых условиях это позволяет злоумышленнику исполнить произвольный код на стороне сервера.
Уязвимые версии:
• До v1.10.2 (включительно v1.10.1)
• До v1.9.7 (включительно v1.9.6)
Что можно сделать прямо сейчас:
✅ Обновите Ingress-NGINX до v1.10.2 или v1.9.7
🛑 Проверьте свои манифесты: есть ли аннотации вроде
configuration-snippet, server-snippet, location-snippet?🔒 Отключите возможность использования произвольных сниппетов, если не уверены в их безопасности.
🔍 Пройдитесь по всем Ingress-объектам в кластере — особенно если вы используете Helm-чарты сторонних приложений.
➡️ Подробнее в блоге k8s
🐸Библиотека devops'a #свежак