KnowSafe 安全预警：Kubernetes ingress-nginx auth secret file 目录遍历漏洞（CVE-2025-24513）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2025-24513 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

2025年3月，Kubernetes 官方披露 CVE-2025-24513 Kubernetes ingress-nginx auth secret file 目录遍历漏洞（CVE-2025-24513）。Nginx Ingress Controller不对Ingress资源写权限持有者提交的输入数据进行充分验证与过滤。攻击者可利用此漏洞构造恶意请求，将非法数据注入配置文件的生成路径中，从而触发容器内的目录遍历漏洞。该漏洞可能导致拒绝服务，或者与其他漏洞结合使用，导致集群内有限Secrets实例的泄露。

影响版本

< v1.11.0

v1.11.0 - 1.11.4

v1.12.0

影响范围

官方公告未列出受影响软件明细，请结合自身业务使用的组件版本进行排查。

解决方案

1、更新至 1.11.5 或 1.12.1 及其以上版本。

2、云安全中心容器资产 k8s组件漏洞检测功能已针对该漏洞上线相关检测规则。

3、针对ACK产品，建议参考ACK团队官方公告 https://help.aliyun.com/zh/ack/product-overview/security-advisory-for-cve-2025-1097-cve-2025-1098-cve-2025-1974-cve-2025-24513-and-cve-2025-24514 以及 https://help.aliyun.com/zh/ack/product-overview/nginx-ingress-controller