El 25 de octubre de 2023, el Instituto Nacional de Estándares y Tecnología (NIST) informó de tres vulnerabilidades CVE que afectaban a NGINX Ingress Controller para Kubernetes:
- CVE-2022-4886 – el saneamiento de rutas de ingress-nginx puede eludirse mediante la directiva
log_format. - CVE-2023-5043 – la inyección de anotaciones en ingress-nginx permite la ejecución arbitraria de comandos.
- CVE-2023-5044 – Se produce una inyección de código a través de la anotación nginx.ingress.kubernetes.io/permanent-redirect.
Ese informe y las publicaciones posteriores (como «Urgente: se descubren nuevos fallos de seguridad en el controlador NGINX Ingress para Kubernetes») generaron cierta confusión (y numerosas consultas al servicio de soporte) sobre qué controladores NGINX Ingress están realmente afectados y quién debería preocuparse por corregir las vulnerabilidades descritas en estos CVE.
La confusión es totalmente comprensible: ¿sabía que hay más de un controlador Ingress basado en NGINX? Para empezar, existen dos proyectos completamente distintos llamados «NGINX Ingress Controller»:
- Proyecto comunitario – Disponible en el repositorio kubernetes/ingress-nginx de GitHub, este controlador de Ingress se basa en el plano de datos de NGINX Open Source, pero está desarrollado y mantenido por la comunidad de Kubernetes, con la documentación alojada en GitHub.
- Proyecto NGINX – Disponible en el repositorio nginxinc/kubernetes-ingress de GitHub, NGINX Ingress Controller está desarrollado y mantenido por F5 NGINX, con documentación en docs.nginx.com. Este proyecto oficial de NGINX está disponible en dos ediciones:
- Basado en NGINX Open Source (opción gratuita y de código abierto)
- Basado en NGINX Plus (opción comercial)
También hay otros controladores Ingress basados en NGINX, como Kong. Afortunadamente, sus nombres se distinguen fácilmente. Si no sabes con seguridad cuál estás utilizando, comprueba la imagen de contenedor del controlador Ingress en ejecución y compara el nombre de la imagen de Docker con los repositorios indicados anteriormente.
Las vulnerabilidades (CVE-2022-4886, CVE-2023-5043 y CVE-2023-5044) descritas anteriormente solo afectan al proyecto de la comunidad (kubernetes/ingress-nginx). Los proyectos de NGINX para NGINX Ingress Controller (nginxinc/kubernetes-ingress, tanto de código abierto como comerciales) no se ven afectados por estas vulnerabilidades.
Para obtener más información sobre las diferencias entre NGINX Ingress Controller y los proyectos de controladores Ingress, lea nuestro artículo del blog «Guía para elegir un controlador Ingress, parte 4: opciones de NGINX Ingress Controller».
Sobre el autor
Artículos relacionados del blog
Únete a F5 NGINX en AppWorld 2024
Descubre las numerosas razones para asistir al evento insignia de F5, que incluirá un emocionante anuncio sobre la cartera de productos NGINX.
Rotación de certificados SSL/TLS sin reinicios en NGINX Open Source
La función de diccionario compartido permite configurar NGINX sin necesidad de reiniciarlo al renovar los certificados SSL/TLS.
Exposición de APIs en Kubernetes
La unidad 2 de Microservices March 2022 se centra en cómo exponer tus API en Kubernetes. Aquí tienes enlaces a los recursos que necesitas: la retransmisión en directo del 14 de marzo, artículos de blog y otros recursos de preparación, y el laboratorio práctico «Protege las API de Kubernetes mediante la limitación de solicitudes».
NGINX Sprint 2.0: visión clara, código renovado y nuevos compromisos con el código abierto
Hoy, en NGINX Sprint 2.0, anunciamos cómo respaldaremos nuestra visión del futuro de las aplicaciones modernas con una mayor presencia en la comunidad de código abierto, incluida la participación en el proyecto comunitario Kubernetes, nuevos proyectos de software de código abierto y la arquitectura de referencia para aplicaciones modernas.
Presentamos NGINX Plus R22
NGINX Plus R22 incorpora nuevas funcionalidades, como la compatibilidad con OCSP para verificar la revocación de certificados en TLS mutuo, el uso de varios proveedores de identidad OIDC en una configuración, el seguimiento en tiempo real de la limitación de solicitudes y conexiones en el panel de NGINX Plus y mejoras en NGINX JavaScript.
Presentamos NGINX Plus R17
NGINX Plus R17 incorpora compatibilidad con la limitación de velocidad en dos fases y con TLS 1.3, la versión más reciente del protocolo Transport Layer Security. La configuración de OpenID Connect es más sencilla y NGINX ModSecurity WAF es el doble de rápido que antes. También se ha actualizado el módulo JavaScript de NGINX.