في تطور جديد يضع الأمان السحابي تحت المجهر، تم الكشف عن مجموعة من الثغرات الأمنية الخطيرة في مكون (Ingress NGINX Controller) لنظام Kubernetes، والتي قد تؤدي إلى تنفيذ تعليمات برمجية عن بعد دون توثيق، مما يضع أكثر من 6,500 مجموعة تحت خطر فوري عند تعرض المكون للإنترنت العام.

تحليل شامل للقضية

حازت هذه الثغرات، المعروفة باسم IngressNightmare والتي تم تصنيفها بدرجة 9.8 على مقياس CVSS، على اهتمام واسع من قبل شركة الأمان السحابية Wiz. الجدير بالذكر أن هذه الثغرات لا تؤثر على مكون NGINX Ingress Controller، والذي يمثل تنفيذًا آخر لمكون NGINX وNGINX Plus.

تُظهر التقارير أن استغلال هذه الثغرات يُمكّن المهاجمين من الوصول غير المصرح به إلى جميع الأسرار المخزنة عبر جميع الأسماء المستعارة في مجموعة Kubernetes، مما قد يؤدي إلى السيطرة الكاملة على المجموعة.

التهديدات والتحديات الأمنية

تؤثر IngressNightmare بشكل رئيسي على مكون Admission Controller في Ingress NGINX Controller لنظام Kubernetes. يُستخدم Ingress NGINX Controller كسيرفر عكسي ووحدة توزيع تحميل، مما يجعله قادرًا على فتح مسارات HTTP وHTTPS من خارج المجموعة إلى الخدمات داخلها.

تكمن خطورة الثغرات في أنها تستغل إمكانية الوصول غير الموثوق إلى Admission Controllers المنتشرة داخل Kubernetes Pod عبر الشبكة. يتمثل الخطر في إمكانية حقن إعدادات NGINX عشوائية عن بعد عبر إرسال كائن دخول ضار (المعروف باسم طلبات AdmissionReview) مباشرة إلى Admission Controller، مما يؤدي إلى تنفيذ التعليمات البرمجية على Ingress NGINX Controller Pod.

استراتيجيات التحسين والممارسات المثلى

• تحديث المكوّن إلى الإصدارات الأحدث: تم معالجة الثغرات في إصدارات Ingress NGINX Controller 1.12.1, 1.11.5, 1.10.7، وينصح المستخدمون بالترقية فورًا.
• تأمين الشبكة: يجب التأكد من عدم تعرض نقطة النهاية Admission Webhook للجمهور الخارجي.
• تقييد الوصول: ينصح بتقييد الوصول إلى Admission Controller ليقتصر فقط على Kubernetes API Server، وتعطيل المكون مؤقتًا إذا لم يكن ضروريًا.

التوقعات المستقبلية والتوجهات الأمنية

تضع هذه الحادثة الضوء على الحاجة الملحة لتعزيز الأمان في البيئات السحابية، خاصة أن 43% من البيئات السحابية معرضة لهذه الثغرات. من المهم للشركات أن تبقى على دراية بالتهديدات الناشئة وتتبنى ممارسات الأمان الحديثة للحفاظ على سلامة بياناتها.

كيف يمكن للشركات تحسين إجراءات الأمان الخاصة بها لمواجهة هذه النوعية من التهديدات؟ شاركونا آرائكم على فيسبوك وتويتر.