KnowSafe 安全预警：Kubernetes Ingress-nginx auth-tls-match-cn 配置注入漏洞（CVE-2025-1097）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2025-1097 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

Ingress-nginx是Kubernetes集群内服务对外暴露的访问接入点，用于承载集群内服务访问流量。其小于1.12.1的旧版中，auth-tls-match-cn配置项存在一个配置注入漏洞，已获得Ingress-nginx访问权限的远程攻击者，可以向Ingress-nginx提交配置，实现在Ingress-nginx所在容器执行任意代码，导致该容器被攻击者控制，并可能导致集群内的Secrets泄漏。

影响范围

官方公告未列出受影响软件明细，请结合自身业务使用的组件版本进行排查。

解决方案

1、更新至 1.11.5 或 1.12.1 及其以上版本。

2、云安全中心容器资产 k8s组件漏洞检测功能已针对该漏洞上线相关检测规则。

3、针对ACK产品，建议参考ACK团队官方公告 https://help.aliyun.com/zh/ack/product-overview/security-advisory-for-cve-2025-1097-cve-2025-1098-cve-2025-1974-cve-2025-24513-and-cve-2025-24514 和 https://help.aliyun.com/zh/ack/product-overview/nginx-ingress-controller