Kubernetes「ingress-nginx」に脆弱性 - シークレット漏洩のおそれ

Kubernetesクラスタの外部アクセス制御に使われるIngressコントローラー「ingress-nginx」に深刻な脆弱性が明らかとなった。情報漏洩のおそれがあるという。

Podネットワークにアクセスできる場合、特定条件下で認証を必要とすることなく任意のコードを実行できる脆弱性「CVE-2025-1974」が明らかとなったもの。

脆弱性が悪用されると、同コントローラよりアクセスできるクラスタ内のシークレット情報を窃取される可能性がある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。セキュリティアドバイザリが公開された現地時間2025年3月23日の時点で脆弱性の悪用は確認されていない。

開発チームでは、「ingress-nginx 1.12.1」「同1.11.5」をリリースし、利用者にアップデートを呼びかけている。あわせて一時的な回避策などについてもアナウンスしている。

（Security NEXT - 2025/03/26 ）ツイート