San IngressNightmare, incubo del cancello

Patrono dei cluster Kubernetes, dei controller di ingresso esposti e dei segreti custoditi dal portinaio.

Vita

Il 24 marzo 2025 i ricercatori di Wiz rivelarono IngressNightmare, una serie di vulnerabilità nel controller ingress-nginx di Kubernetes. In certe condizioni un attaccante senza credenziali, con accesso alla rete dei pod, poteva eseguire codice nel controller d'ingresso; e poiché nell'installazione predefinita quel controller può leggere tutti i segreti del cluster, da lì si arrivava a tutto. Il guardiano del cancello consegnava le chiavi di ogni stanza.

Preghiera

O San IngressNightmare, che corrompi il guardiano del cancello, fa' che i nostri controller vedano solo i segreti che servono. Amen.

Come si festeggia

Si festeggia aggiornando ingress-nginx, limitando l'accesso al webhook di ammissione e restringendo i permessi del controller.

Portinaio corrotto, palazzo spalancato.