CVE-2025-15566
Mis à jour :
Injecter des directives de configuration pour compromettre les secrets Kubernetes
Une faille de sécurité, identifiée sous le nom de CVE-2025-15566, a été découverte dans le contrôleur ingress-nginx de Kubernetes. Elle résulte d’une validation inadéquate des entrées liées à l’annotation nginx.ingress.kubernetes.io/auth-proxy-set-headers.
Points clés :
- La vulnérabilité concerne une mauvaise gestion des données fournies par l’annotation
auth-proxy-set-headers. - L’ingress-nginx est souvent exécuté avec des privilèges élevés et un accès aux secrets du cluster.
Vulnérabilités :
- CVE-2025-15566 : Permet l’injection de directives de configuration arbitraires dans la configuration nginx gérée par le contrôleur.
- CWE-20 : Mauvaise validation des entrées.
Conséquences potentielles :
- Exécution de code arbitraire dans le contexte du contrôleur.
- Divulgation non autorisée de secrets sensibles du cluster.
Recommandations :
Bien que l’article ne détaille pas explicitement les recommandations, une mise à jour du contrôleur ingress-nginx vers une version corrigée est implicitement nécessaire pour pallier cette faille. Il est également conseillé de surveiller les configurations d’annotations liées à l’authentification proxy.