Aggregator

漏洞概述

近日，Ingress-Nginx 项目的维护者们发布了一批关键漏洞的修复补丁，其中包含了高风险漏洞（CVE-2025-29927），攻击者可以利用该漏洞轻易接管你的 Kubernetes 集群。目前有 40% 以上的 Kubernetes 管理员正在使用 ingress-nginx，建议您及时开展安全风险自查。

Ingress-Nginx 是 Kubernetes 生态中基于 Nginx 实现的 ‌Ingress 控制器‌‌，用于管理集群外部的 HTTP(S) 和 WebSocket 流量路由‌。其核心作用是通过定义路由规则，将外部请求按域名、路径等策略转发至集群内部服务，并提供负载均衡、SSL 终止、限流等高级功能‌。

据描述，Ingress-Nginx 在 v1.11.5、v1.12.1 之前的版本中存在一个安全漏洞。攻击者向同一 Pod 内的 NGINX 服务器发送一个长缓冲请求。NGINX 会将该请求缓存为一个临时文件，然后攻击者发送第二个请求至准入验证 Webhook 服务器（Admission Validating Webhook Server）。该 Webhook 会触发 NGINX 生成一个包含恶意配置指令 ssl_engine badso_location;准入 Webhook 会执行 nginx -t 命令来验证配置文件的合法性。由于 NGINX 在加载配置时会直接解析并执行特定指令，攻击者可通过恶意指令在 NGINX 服务器的上下文中触发远程代码执行（RCE），从而完全控制服务器。

漏洞影响的产品和版本：

< v1.11.0  

v1.11.0 - 1.11.4  

v1.12.0

漏洞复现

资产测绘

据daydaymap数据显示互联网存在15102个资产，国内风险资产分布情况如下：

解决方案

临时缓解方案：

启用mTLS认证准入控制器；

定期审计Ingress注解使用情况；

实施Pod安全策略限制挂载敏感目录。

升级修复：

目前官方已发布修复安全补丁

参考链接

原文链接

2025年政府工作报告中指出，培育壮大新兴产业、未来产业。深入推进战略性新兴产业融合集群发展，开展新技术新产品新场景大规模应用示范行动，推动商业航天、低空经济等新兴产业安全健康发展。作为重塑区域经济版图、重构产业竞争格局的战略性新兴产业，低空经济热度持续攀升。近日，2025年低空经济产业发展大会在北京隆重召开，众多行业领军者、权威专家齐聚京城，共探低空经济的未来发展方向。

在此盛会中，盛邦安全载誉而归，凭借深厚的技术积累与不懈的创新实践，率先布局低空网络安全领域，成功打造了极具影响力的行业标杆。盛邦安全与星展测控携手，针对低空场景应急难题，精心打造 “低空网络安全技术在无人机多场景中的应用研究” 解决方案，在抢险救灾、应急通信等低空应急场景下，保障无人机网络安全，让信息稳定传输。从海量申报案例中脱颖而出，不仅获得行业高度认可，还经专家评审团一致通过，成功入选 2025 年度低空经济典型案例，成为行业瞩目的焦点。同时，董事长权小文被任命为 “低空经济五十人论坛” 理事，这不仅是对盛邦安全深耕低空网络安全领域的高度肯定，更将激励公司在未来持续开拓创新，引领行业迈向新高度 。

✦ 低空无人飞行安全防护解决方案

面对当前低空无人飞行所面临的安全挑战，盛邦安全推出针对性解决方案——低空无人飞行安全防护解决方案，为低空经济发展装上 “安全锁”。该方案包括了无人机终端安全、飞行控制中心系统安全、机库系统安全、无人机与飞行控制中心之前的空口通信信道安全、飞行控制中心与机库之间的地面通信信道安全等方面。具有三大显著优势：

1、全方位安全防护：从无人机设备到飞行网络，构建起一套完整的安全防护体系，杜绝任何安全隐患。

2、跨网络组网能力：通过软件定义的技术实现任意网络组网，为跨地域的无人机库或飞控中心节点构建专网提供优化方案，能够支持多种NAT穿越模式，实现任意网络的互连。

3、无损通信安全防护：在保障通信安全的同时，不会对无人机通信效率产生任何负面影响，让无人机飞行既安全又高效。

未来，随着低空经济进入高速发展的黄金时期，盛邦安全将依托自身深厚的技术底蕴，不断拓展低空经济的应用版图。与更多的低空经济无人装备优质厂商，搭建开放多元的合作平台，通过资源共享、优势互补，凝聚协同创新的强大合力；继续聚焦低空旅游、智慧城市、应急救援等新兴场景，开展深度调研，精准把握市场需求，量身定制一系列贴合实际的低空经济安全解决方案。用创新科技为低空经济的安全、有序发展筑牢坚实防线，全力书写低空经济安全领域的全新篇章 。

原文链接

重庆信通设计院简介：

拥有等级保护测评、商用密码应用安全性评估、数据安全评估等服务资质，并具有中国网络安全审查技术与认证中心、中国信息安全测评中心颁发的网络安全服务资质；依托专业的精英团队，能够为客户提供专业的等级保护、商用密码、数据安全测评及咨询服务，并致力于成为集咨询、规划设计、测评、运维、攻防对抗、培训等能力于一体的综合型网络与信息安全专家。

荣誉与资质：

担任多个理事和支撑单位，如：重庆市互联网界联合会监事长单位、重庆市信息安全协会副理事长单位、重庆市互联网协会理事会成员、重庆市云计算产业协会理事单位、重庆市信息技术应用标准化技术委员会秘书单位、重庆市网络与信息安全信息通报机制-技术支持单位、市委网信办、市公安局、市通管局等的长期技术支撑单位；拥有等保测评、密评、数安评估、培训等较为丰富的网络与信息安全相关服务资质。

来源：重庆信通设计院天空实验室