BDU:2023-07144

Уязвимость компонента nginx.ingress.kubernetes.io/configuration-snippet контроллера входящего трафика в кластере Kubernetes ingress-nginx связана с ошибками при обработке входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код или повысить свои привилегии

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:
- ограничение доступа к программному средству из внешних сетей (Интернет);
- установка флага
--enable-annotation-validation
для ограничения возможности эксплуатации уязвимости;
- использование средств межсетевого экранирования для ограничения доступа к vCenter;
- минимизация пользовательских привилегий;
- отключение/удаление неиспользуемых учётных записей пользователей;
- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Использование рекомендаций:
https://groups.google.com/g/kubernetes-security-announce/c/pVsXsOpxYZo
https://github.com/kubernetes/ingress-nginx/issues/10571