Upgrading Nginx-Ingress did not go smoothly today

It worked, but I had to deviate from the recommended steps - without really having time to figure out why.

My Notes here

https://tangiblebytes.co.uk/2025/kubernetes-nginx-ingress-cve-2025-1974/

#kubernetes #nginx #CVE_2025_1974 #helm

⚠️ Alerte sécurité sur Kubernetes : #IngressNightmare

Le 24 mars 2025, l’équipe de recherche de Wiz et les mainteneurs de Kubernetes ont dévoilé 5 vulnérabilités majeures affectant le très populaire Ingress-NGINX Controller (présent sur +40% des clusters).

Ces failles, dont la plus grave est CVE-2025-1974 (CVSS 9.8), permettent à un attaquant sans identifiants d’exécuter du code à distance (Remote Code Execution) et de prendre le contrôle complet du cluster Kubernetes, en accédant à tous les secrets (mots de passe, clés d’API, etc.).

Ce qui est en cause :
Le composant vulnérable est le Validating Admission Controller d’Ingress-NGINX. Il valide les objets "Ingress" mais est, par défaut, accessible sans authentification depuis le réseau interne du cluster – parfois même exposé publiquement.

Les chercheurs ont réussi à injecter des configurations NGINX malveillantes, puis à exécuter du code en important des bibliothèques à partir de fichiers temporaires via NGINX. Une véritable porte d’entrée invisible.

✅ Ce que vous devez faire rapidement:
Vérifiez si vous utilisez ingress-nginx :

kubectl get pods --all-namespaces --selector app.kubernetes.io/name=ingress-nginx

Mettez à jour vers une version corrigée :

v1.12.1 ou v1.11.5

Si vous ne pouvez pas mettre à jour tout de suite :

Désactivez temporairement le webhook d’admission (voir instructions officielles).

[Sources officielles]
⬇️
Blog de recherche Wiz :
"IngressNightmare: 9.8 Critical Unauthenticated Remote Code Execution Vulnerabilities in Ingress NGINX"
👇
https://www.wiz.io/blog/ingress-nginx-kubernetes-vulnerabilities

📢 Annonce de Kubernetes (Security Response Committee) :
"Ingress-nginx CVE-2025-1974: What You Need to Know"
👇
https://kubernetes.io/blog/2025/03/24/ingress-nginx-cve-2025-1974/

#CyberVeille #Kubernetes #DevSecOps #CVE_2025_1974 #RCE