Falha Crítica no Kubernetes NGINX Ingress Controller Permite Bypass de TLS e Intercepção de Tráfego

Aviso urgente de segurança sobre a falha no Ingress NGINX que expõe clusters K8s a ataques de Man-in-the-Middle.

⟩_ Brecha na Validação de Anotações NGINX

Foi descoberta uma falha grave na biblioteca de parsing de anotações do Kubernetes NGINX Ingress Controller. Usuários com permissão para criar ou modificar objetos `Ingress` em um namespace individual conseguem injetar diretivas de configuração arbitrárias no arquivo `nginx.conf` global do roteador.

⟩_ Aplicação de Regra Validadora de Admissão (ValidatingWebhook)

apiVersion: admissionregistration.k8s.io/v1
kind: ValidatingWebhookConfiguration
metadata:
  name: block-ingress-annotation-injection
webhooks:
  - name: validate.ingress.security
    rules:
      - apiGroups: ["networking.k8s.io"]
        apiVersions: ["v1"]
        operations: ["CREATE", "UPDATE"]
        resources: ["ingresses"]
    # Bloqueia anotações customizadas perigosas

⟩_ Recomendações para Clusters Corporativos

Recomenda-se aplicar políticas de Admissão Nativas (Kyverno ou OPA Gatekeeper) para impedir que desenvolvedores injetem snippet-annotations não homologados nos roteadores de entrada do Kubernetes.