一键修复K8s集群Ingress

K8s集群中Ingress Nginx组件的高危漏洞可能导致攻击者绕过认证或执行远程代码。
本文提供一套经过验证的一键修复方案，通过升级Ingress Nginx控制器到安全版本或应用临时补丁，并配合自动化脚本完成集群内所有节点的修复。
操作过程无需手工修改每个YAML，适用于Kubernetes 1.19+版本，修复后可通过命令行验证漏洞是否消除。

修复前需要准备什么

执行一键修复前，必须确认以下三个条件已满足：

• K8s集群版本：Kubernetes 1.19及以上，且已配置kubectl命令行工具，当前上下文指向目标集群。
• Ingress Nginx控制器版本：执行以下命令查看当前控制器镜像标签：

kubectl get pods -n ingress-nginx -o yaml | grep 'image:'。
若版本低于安全基线（例如1.11.x以下），则需立即修复。

• 备份已有配置：建议备份ingress-nginx命名空间下所有资源：

kubectl get all -n ingress-nginx -o yaml > backup-ingress-nginx.yaml。

一键修复核心步骤

使用Helm Chart或官方脚本都能实现一键修复，以下提供基于Helm的自动升级方式（已安装Helm工具）。

1. 添加并更新Helm仓库：

   helm repo add ingress-nginx https://kubernetes.github.io/ingress-nginx
   helm repo update

1. 创建修复脚本（保存为fix-ingress.sh）：

   #!/bin/bash
   # 升级Ingress Nginx到安全版本
   helm upgrade ingress-nginx ingress-nginx/ingress-nginx \
     --namespace ingress-nginx \
     --set controller.image.tag=v1.11.4 \
     --reuse-values

提示：此处v1.11.4仅为示例，实际应以官方安全公告标注的修复版本为准。获取最新安全版本可访问https://github.com/kubernetes/ingress-nginx/releases。

1. 执行一键修复：给脚本添加执行权限并运行：

   chmod +x fix-ingress.sh
   ./fix-ingress.sh

执行后Helm会滚动更新控制器Pod，不会中断现有连接。

避坑要点（常见错误）

• 镜像拉取失败：如果集群无法直接拉取Docker Hub镜像，可先拉取到私有仓库或使用镜像加速器。在--set中额外指定controller.image.registry。
• RBAC权限不足：确保运行脚本的ServiceAccount具有cluster-admin或至少namespace: ingress-nginx的读写权限。临时赋予可通过：

kubectl create clusterrolebinding fix-role --clusterrole=cluster-admin --serviceaccount=default:
default。

• CRD冲突：如果早期安装时自定义了CRD，升级可能失败。建议先执行kubectl get crd | grep ingress检查，如有冲突提前删除旧CRD（谨慎操作）。

如何验证漏洞是否已修复

1. 检查控制器镜像版本：

   kubectl get pods -n ingress-nginx -l app.kubernetes.io/component=controller -o jsonpath='{.items[*].spec.containers[*].image}'

输出应包含升级后的安全版本号。

1. 运行官方安全扫描：可使用kubectl命令或第三方工具（如Trivy）检测镜像漏洞。例如：

   kubectl run trivy --rm -it --image docker.io/aquasec/trivy:latest -- image registry.k8s.io/ingress-nginx/controller:v1.11.4

若扫描结果中高危漏洞数为0，则表明修复成功。

常见问题（FAQ）

Q1: 一键修复脚本会不会影响现有Ingress规则？
不会。Helm升级只替换控制器镜像和必要配置，Ingress规则（kind: Ingress）不受影响，滚动更新期间服务不中断。

Q2: 修复后需要重新发布服务吗？
不需要。Ingress Nginx控制器升级后会自动加载现有Ingress资源，业务流量恢复正常。如果发现部分路由失效，可重启控制器Pod：kubectl rollout restart deployment ingress-nginx-controller -n ingress-nginx。

Q3: 如果升级失败如何回滚？
执行helm rollback ingress-nginx -n ingress-nginx回退到上一个版本。回滚前请确认备份文件（backup-ingress-nginx.yaml）无误。

Q4: 这个漏洞影响所有K8s版本吗？
主要影响Ingress Nginx控制器版本低于官方安全公告中修复版本的集群。K8s版本本身不直接受影响，但低版本K8s可能无法使用最新控制器。建议参考K8s官方文档确认兼容性。