🇰🇷 한글 설명
NGINX Ingress Controller 2.x(2.0.3 미만) 및 1.x(1.12.3 미만) 버전에서 명령줄 제한 설정이 Ingress 객체에 적용되지 않는 취약점이 발견되었습니다. 이로 인해 사용자가 의도하지 않은 스니펫 설정을 통해 보안 정책을 우회할 수 있습니다.
💡 쉬운 설명
NGINX 설정의 제한 사항이 제대로 작동하지 않아, 공격자가 설정 파일을 조작하여 보안 규칙을 무력화할 수 있는 문제입니다. 설정 권한이 있는 사용자가 시스템 설정을 임의로 변경할 위험이 있습니다.
🇺🇸 원문 (English)
On version 2.x before 2.0.3 and 1.x before 1.12.3, the command line restriction that controls snippet use with NGINX Ingress Controller does not apply to Ingress objects. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.
📍 영향받는 시스템
NGINX Ingress Controller 2.x < 2.0.3, 1.x < 1.12.3
⚔️ 공격 벡터
Ingress 객체 설정을 통한 임의의 NGINX 스니펫 삽입 및 설정 우회
🛡️ 대응 방법
NGINX Ingress Controller를 2.0.3 또는 1.12.3 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 취약한 버전 범위의 이미지 태그가 포함되어 있다면 업데이트가 필요합니다.
kubectl get deployment -n ingress-nginx -o jsonpath='{.items[*].spec.template.spec.containers[*].image}' | grep -E 'nginx-ingress/nginx-ingress:[1|2].(0.[0-2]|1\.(1[0-1]\.|[0-9]\.))'