Los investigadores de ciberseguridad han revelado múltiples vulnerabilidades de seguridad críticas en el caos de malla que, si se explotan con éxito, podrían conducir a la adquisición de clúster en entornos de Kubernetes.
«Los atacantes solo necesitan acceso mínimo a la red en el clúster para explotar estas vulnerabilidades, ejecutar las inyecciones de fallas de la plataforma (como apagar las cápsulas o interrumpir las comunicaciones de la red) y realizar más acciones maliciosas, incluidos los tokens de cuentas de servicio privilegiados», JFrog «, JFrog», JFrog «, Jfrog» dicho En un informe compartido con The Hacker News.
Malla de caos es una nube de origen abierto nativo Plataforma de ingeniería del caos Eso ofrece varios tipos de simulación de fallas y simula varias anormalidades que pueden ocurrir durante el ciclo de vida del desarrollo de software.
Los problemas, colectivamente llamados diputados caóticos, se enumeran a continuación –
- CVE-2025-59358 (Puntuación CVSS: 7.5)-El Administrador del controlador del Chaos In Chaos Mesh expone un servidor de depuración GraphQL sin autenticación a todo el clúster de Kubernetes, que proporciona una API para matar procesos arbitrarios en cualquier Pod Kubernetes, lo que lleva a la negación de servicio de servicio de clúster
- CVE-2025-59359 (Puntuación CVSS: 9.8) – La mutación CleanTCS en el administrador del controlador de Chaos es vulnerable a la inyección de comando del sistema operativo
- CVE-2025-59360 (Puntuación CVSS: 9.8) – La mutación KillProcesses en el administrador del controlador del Caos es vulnerable a la inyección del comando del sistema operativo
- CVE-2025-59361 (Puntuación CVSS: 9.8) – La mutación de limpieza en el administrador del controlador del chaos es vulnerable a la inyección de comando del sistema operativo
Un atacante en el clúster, es decir, un actor de amenaza con acceso inicial a la red del clúster, podría encadenar CVE-2025-59359, CVE-2025-59360, CVE-2025-59361, o con CVE-2025-59358 para realizar una ejecución de código remoto en el clúster, incluso en la configuración predeterminada de Chaos Mesh.
JFrog dijo que las vulnerabilidades se derivan de mecanismos de autenticación insuficientes dentro del servidor GraphQL del Manager del Controlador Chaos, lo que permite a los atacantes no autenticados ejecutar comandos arbitrarios en el demonio del caos, lo que resulta en una adquisición de clúster.
Los actores de amenaza podrían aprovechar el acceso a los datos confilados potencialmente confilados, interrumpir los servicios críticos o incluso moverse lateralmente a través del clúster para aumentar los privilegios.
Después de la divulgación responsable el 6 de mayo de 2025, todas las deficiencias identificadas fueron abordadas por Chaos Mesh con el lanzamiento de Versión 2.7.3 el 21 de agosto.
Se recomienda a los usuarios que actualicen sus instalaciones a la última versión lo antes posible. Si el parche inmediato no es una opción, se recomienda restringir el tráfico de red al Caos Mesh Daemon y el servidor API, y evite ejecutar el Caos Mesh en entornos abiertos o libremente asegurados.
Fuente