一、漏洞简介¶

1.1 漏洞背景¶

Ingress-nginx 默认拥有集群范围读取所有 Secrets 的权限，这使得配置注入漏洞可能导致严重的 Secret 泄露。

1.2 漏洞概述（包含 CVE 编号、危害等级、漏洞类型、披露时间等）¶

• CVE编号: CVE-2025-1097
• 危害等级: 高危 (High)
• CVSS评分: 8.1
• 漏洞类型: 信息泄露
• GitHub Issue: #131007

补充核验信息：公开时间：2025-03-25；NVD 评分：8.8（HIGH）；CWE：CWE-20。

二、影响范围¶

2.1 受影响的版本¶

• 暂未找到权威信息，建议以厂商安全公告、修复提交记录或发布说明为准。

2.2 不受影响的版本¶

• 暂未找到权威信息，建议以厂商安全公告、修复提交记录或发布说明为准。

2.3 触发条件（如特定模块、特定配置、特定运行环境等）¶

• 需要存在可被远程或本地触达的相关接口、服务、插件或默认配置条件；原文与公开资料未给出更精确的统一触发条件。

三、漏洞详情与原理解析¶

3.1 漏洞触发机制¶

通过注入特定的 nginx 配置指令，攻击者可以使 nginx 返回环境变量或文件内容，包括 Kubernetes Secrets。

3.2 源码层面的根因分析（结合源码与补丁对比）¶

nginx 的某些配置指令（如 env、include）可能被滥用读取敏感信息。

四、漏洞复现（可选）¶

4.1 环境搭建¶

暂无公开可验证复现信息。

4.2 PoC 演示与测试过程¶

暂无公开可验证复现信息。

五、修复建议与缓解措施¶

5.1 官方版本升级建议¶

升级到 v1.12.1 或 v1.11.5。

5.2 临时缓解方案（如修改配置文件、关闭相关模块、增加 WAF 规则等）¶

限制 ingress-nginx 的 Secret 访问权限，使用 --secret-selctor 参数。

六、参考信息 / 参考链接¶

6.1 官方安全通告¶

• https://github.com/kubernetes/kubernetes/issues/131007

6.2 其他技术参考资料¶

• NVD：https://nvd.nist.gov/vuln/detail/CVE-2025-1097
• CVE：https://www.cve.org/CVERecord?id=CVE-2025-1097
• https://github.com/kubernetes/kubernetes/issues/131007
• https://security.netapp.com/advisory/ntap-20250328-0008/
• https://www.exploit-db.com/exploits/52475