BDU:2025-03219

Опубликовано: 23 мар. 2025

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Высокий

Описание

Уязвимость контроллера входящего трафика в кластере Kubernetes ingress-nginx связана с недостаточным пространственным разделением. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код в контексте контроллера

Вендор

ООО «Ред Софт»

NGINX Inc.

Наименование ПО

РЕД ОС

NGINX Ingress Controller

Версия ПО

7.3 (РЕД ОС)

до 1.12.1 (NGINX Ingress Controller)

до 1.11.5 (NGINX Ingress Controller)

Тип ПО

Операционная система

Сетевое программное средство

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование средств межсетевого экранирования для ограничения возможности удалённого доступа к уязвимому программному обеспечению;

- использование «белого» списка IP-адресов для ограничения доступа к уязвимому программному обеспечению;

- использование средств обнаружения и предотвращения вторжений (IDS/IPS) для выявления и реагирования на попытки эксплуатации уязвимости;

- использование SIEM-систем для отслеживания попыток эксплуатации уязвимости.

Использование рекомендаций:

https://kubernetes.io/blog/2025/03/24/ingress-nginx-cve-2025-1974/

Для РедОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-1974
CVE

EPSS

Процентиль: 99%

0.86946

Высокий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

ROS-20250417-05

CVSS3: 9.8

redos

2 месяца назад

Множественные уязвимости golang-k8s-ingress-nginx

CVE-2025-1974

redhat

3 месяца назад

A security issue was discovered in Kubernetes where under certain conditions, an unauthenticated attacker with access to the pod network can achieve arbitrary code execution in the context of the ingress-nginx controller. This can lead to disclosure of Secrets accessible to the controller. (Note that in the default installation, the controller can access all Secrets cluster-wide.)

CVE-2025-1974

CVSS3: 9.8

nvd

3 месяца назад

GHSA-mgvx-rpfc-9mpv

CVSS3: 9.8

github

3 месяца назад

ingress-nginx admission controller RCE escalation

CVE-2025-24514

msrc

3 месяца назад

Kubernetes: Vulnerability in Kubernetes NGINX Ingress Controller

EPSS

Процентиль: 99%

0.86946

Высокий

9.8 Critical

CVSS3

10 Critical

CVSS2