🚨 IngressNightmare: обнаружены критические уязвимости в Ingress

🔍 Команда Wiz Research обнаружила пять критических уязвимости в ingress, которые в совокупности позволяют провести полный захват Kubernetes-кластера. Эти уязвимости получили название IngressNightmare и уже внесены в базу CVE:

1. CVE-2025-1974 (CVSS 9.8 - Critical) 🔥
- Тип: Arbitrary Code Execution
- Описание: Позволяет выполнить произвольный код в контексте ingress-nginx контроллера через уязвимости инъекции конфигурации
- Вектор атаки: Любой ресурс в Pod-сети может эксплуатировать уязвимости через Validating Webhook
- Последствия: Полный контроль над кластером

2. CVE-2025-1097 (CVSS 8.8 - High)
- Тип: Configuration Injection
- Описание: Инъекция произвольных конфигураций через аннотацию "auth-tls-match-cn"
- Эксплуатация: Специально сформированный Ingress-ресурс

3. CVE-2025-1098 (CVSS 8.5 - High)
- Тип: Configuration Injection
- Описание: Инъекция через аннотации "mirror-target" и "mirror-host"
- Риск: Перенаправление трафика на злоумышленника

4. CVE-2025-24514 (CVSS 8.2 - High)
- Тип: Configuration Injection
- Описание: Инъекция через аннотацию "auth-url"
- Последствия: Обход аутентификации

5. CVE-2025-24513 (CVSS 7.5 - Medium)
- Тип: Directory Traversal
- Описание: Обход ограничений доступа внутри контейнера
- Утечка: Чувствительные данные и конфигурации

⚡ Технические детали эксплуатации

Цепочка атаки выглядит следующим образом:
1. Злоумышленник создает вредоносный Ingress-ресурс с эксплойтом для CVE-2025-1974
2. Получает выполнение кода в контроллере
3. Использует CVE-2025-24513 для сбора чувствительных данных
4. Эскалирует привилегии до cluster-admin через скомпрометированные учетные данные

📊 Статистика угрозы:
- 87% кластеров Kubernetes используют ingress-nginx
- 63% из них работают на уязвимых версиях
- Среднее время обнаружения атаки: 14 дней
- Ущерб от компрометации: $4.5M в среднем на компанию

🔒 Кто виноват Что делать?

➖ Срочные меры:
- Обновиться до ingress-nginx 1.12.1+ (патч-релиз)
- Отозвать все действующие сертификаты и токены
- Провести аудит всех Ingress-ресурсов на предмет подозрительных аннотаций
➖Внедрить OPA/Gatekeeper политики:

package ingress

deny[msg] {
    input.kind == "Ingress"
    annotation := input.iss.onetadata.annotations[_]
    dangerous_annotations := {
        "nginx.ingress.kubernetes.io/auth-tls-match-cn",
        "nginx.ingress.kubernetes.io/mirror-target",
        "nginx.ingress.kubernetes.io/auth-url"
    }
    contains(annotation, dangerous_annotations[_])
    msg := sprintf("Potentially dangerous annotation detected: %v", [annotation])
}

➖ Настрить мониторинг подозрительной активности:
  - Необычные запросы к API-серверу
  - Изменения Ingress-конфигураций в нерабочее время
  - Попытки доступа к secrets из недоверенных namespaces

🔗 Официальный патч

📌 IngressNightmare - это wake-up call для всех, кто использует Kubernetes. Время реакции критически важно - первые эксплойты уже в сети.

Stay secure and read SecureTechTalks 📚

#Kubernetes #Security #CVE
#CloudNative #DevSecOps
#Кибербезопасность

🐆 Calico: как защищать сеть Kubernetes 🔒

В современном мире DevSecOps и облачной инфраструктуры Kubernetes стал стандартом. Но с ростом микросервисов приходит и новая угроза — сетевые атаки внутри кластера.

🧠 Calico — это open-source решение для сетевой безопасности, маршрутизации и политики доступа в Kubernetes, OpenShift и других средах.
Но это не просто "сетевой плагин". Это целая экосистема безопасности для микросервисов, которая умеет:
🔹 Контролировать кто с кем может общаться
🔹 Обнаруживать и блокировать подозрительную активность
🔹 Визуализировать сетевые взаимодействия внутри кластера
🔹 Работать с нативной Linux маршрутизацией, BPF и IPtables

🔐 Что делает Calico особенным?

🚦 Сетевые политики уровня L3/L4
Можно тонко настроить доступ:
- по namespace
- по pod labels
- по CIDR, порту и протоколу
Например: разрешить доступ к базе только от backend-сервисов, но не от frontend.

📦 Поддержка eBPF
Для высокопроизводительных кластеров Calico использует eBPF — это позволяет обходиться без IPtables, минимизируя latency и увеличивая throughput.

🕸️ Маршрутизация без Overhead
Calico не требует оверхеда, как у некоторых SDN — он использует чистый IP-рейтинг, и легко масштабируется до тысяч узлов.

🔍 Flow Logs и IDS-интеграции
Calico может логировать весь сетевой трафик между pod'ами и даже работать с системами типа Falco, Suricata, SIEM для обнаружения вторжений.

🧪 Где Calico применяется на практике?
✅ Финтех — изоляция платёжных систем от аналитических сервисов
✅ Хелс-тек — контроль доступа к чувствительным API (медицинские записи)
✅ Энтерпрайз-кластеры — многокомандные среды с RBAC + сетевыми ограничениями
✅ Multi-Cloud — работает в AWS, Azure, GCP и bare-metal

🚀 Установка и запуск

Calico можно поставить
как:
🔹 CNI плагин — для управления сетями Kubernetes
🔹 Standalone BGP маршрутизатор — для традиционных сетей
🔹 NetworkPolicy движок — в дополнение к другим решениям
Установка в K8s:
kubectl apply -f https://raw.githubusercontent.com/projectcalico/calico/v3.27.0/manifests/calico.yaml
👉 Подробности:
➖ официальная документация
➖репозиторий GitHub

🧠 Что ещё умеет Calico?

🌍 Поддержка IPv6
🔀 NAT-перехват и DNAT-правила
📈 Интеграция с Prometheus и Grafana
👮‍♂️ Enforcement политик в режиме zero-trust
☁️ Cloud-agnostic: AWS, GCP, Azure, OpenStack, bare metal

🔮 Будущее с Calico: Zero Trust + eBPF

Комбинация микросегментации, eBPF и observability превращает Calico в must-have инструмент безопасности для DevSecOps.

Stay secure and read SecureTechTalks 📚

#Calico #KubernetesSecurity #DevSecOps #ZeroTrust #CloudSecurity #OpenSourceSecurity #eBPF #NetworkPolicy #Microsegmentation #SecureK8s
#CloudNative #CNISecurity #Cybersecurity #ContainerSecurity #LLMResilience #NetworkObservability #K8sHardening #SecureInfrastructure #ProjectCalico