摘要:
A security issue was discovered in Kubernetes where under certain conditions, an unauthenticated attacker with access to the pod network can achieve arbitrary code execution in the context of the ingress-nginx controller. This can lead to disclosure of Secrets accessible to the controller. (Note that in the default installation, the controller can access all Secrets cluster-wide.)
安全等级: Low
公告ID: KylinSec-SA-2025-2348
发布日期: 2025年4月20日
关联CVE: CVE-2025-1974
Kubernetes 安全漏洞公告
已发现 Kubernetes 存在一个安全问题：在特定条件下，能够访问 Pod 网络的未认证攻击者可在 ingress-nginx 控制器上下文中执行任意代码。此漏洞可能导致攻击者获取该控制器可访问的 Secret 数据（需注意：在默认安装配置下，该控制器具有集群范围内所有 Secret 的访问权限）。
| cve名称 | 产品 | 组件 | 是否受影响 |
|---|---|---|---|
| CVE-2025-1974 | KY3.4-5A | kubernetes | Unaffected |
| CVE-2025-1974 | V6 | kubernetes | Unaffected |
