This post is also available in: Português
A vulnerabilidade crítica identificada como CVE-2025-1974 afeta o Ingress NGINX Controller, uma ferramenta amplamente utilizada em ambientes Kubernetes para gerenciar o tráfego externo direcionado aos serviços internos do cluster. Com uma pontuação CVSS de 9.8, essa falha permite a execução remota de código (RCE) sem necessidade de autenticação, representando um risco significativo para a segurança dos sistemas afetados.
Produtos afetados
O Ingress NGINX Controller é responsável por expor rotas HTTP e HTTPS de fora do cluster para serviços internos no Kubernetes. A vulnerabilidade CVE-2025-1974 impacta especificamente este componente, colocando em risco os clusters que o utilizam para gerenciar o tráfego de entrada.
Detalhes da CVE-2025-1974
A CVE-2025-1974 permite que um invasor não autenticado, com acesso à rede do pod, injete configurações arbitrárias no NGINX. Isso é possível devido a uma falha no admission controller do Ingress NGINX Controller, que não isola adequadamente as funcionalidades que requerem diferentes níveis de privilégio. Essa falta de isolamento é classificada como “Isolamento ou Compartimentalização Inadequada” (CWE-653).
A exploração ocorre quando um invasor envia uma requisição maliciosa diretamente ao admission controller, permitindo a injeção de configurações no NGINX. Isso pode resultar na execução de código arbitrário no contexto do pod do Ingress NGINX Controller, possibilitando o acesso não autorizado a segredos armazenados em todos os namespaces do cluster.
Impacto e gravidade
Com uma pontuação CVSS de 9.8, a CVE-2025-1974 é considerada de gravidade crítica. A exploração bem-sucedida dessa vulnerabilidade pode levar ao comprometimento total do cluster Kubernetes, permitindo que invasores acessem dados sensíveis e comprometam a integridade dos serviços.
Necessidade de correção
Dada a severidade da vulnerabilidade, é importante que as organizações que utilizam o Ingress NGINX Controller tomem medidas imediatas para mitigar o risco. Recomenda-se a atualização para a versão mais recente do controlador, onde a falha foi corrigida. Além disso, é aconselhável restringir o acesso à rede do pod e revisar as configurações de segurança para garantir a proteção adequada do ambiente Kubernetes.
This post is also available in: Português
