漏洞通告 | Kubernetes Ingress-nginx 远程命令执行漏洞

近日，微步情报局监控到Wiz Research 团队披露IngressNightmare系列漏洞（ CVE-2025-1097、CVE-2025-1098、CVE-2025-24514、CVE-2025-1974），未经身份验证的攻击者可利用上述漏洞在Ingress-nginx Admission Controller的上下文中实现任意代码执行，进而可获取敏感数据并接管集群。

该漏洞技术细节已公开，危害较大，建议受影响的客户尽快修复。

综合处置优先级：高

官方修复方案：

官方已发布修复方案，建议受影响的客户升级到1.11.5或1.12.1。

https://github.com/kubernetes/ingress-nginx/releases/tag/controller-v1.11.5

https://github.com/kubernetes/ingress-nginx/releases/tag/controller-v1.12.1

临时修复方案：

1. 设置IP白名单，只允许Kubernetes API Server能够访问admission controller。

2. 结合业务情况，临时禁止Ingress-nginx的Admission Controller组件，配置方式如下：

• 如果使用Helm安装，重新安装时设置controller.admissionWebhooks.enabled=false

• 如果手动安装：删除名为ingress-nginx-admission的ValidatingWebhookConfiguration，并从ingress-nginx-controller容器的Deployment或DaemonSet中移除--validating-webhook参数。