Chaos Mesh es una herramienta utilizada para pruebas de resiliencia en entornos Kubernetes. Recientemente, ha sido afectado por un conjunto de vulnerabilidades críticas que ponen en riesgo la seguridad de miles de clústeres.
Vulnerabilidades identificadas
Las vulnerabilidades, denominadas «Chaotic Deputy», permiten a un atacante acceder al sistema con total libertad si son explotadas. Existen cuatro vulnerabilidades relacionadas con el servidor GraphQL no autenticado en versiones anteriores a 2.7.3 de la herramienta.
- CVE-2025-59358: Permite acceso sin autenticación al endpoint /query.
- CVE-2025-59359: Facilita la inyección de comandos a través de la mutación cleanTcs.
- CVE-2025-59360: Facilita la inyección de comandos a través de la mutación killProcesses.
- CVE-2025-59361: Facilita la inyección de comandos a través de la mutación cleanIptables.
Estas fallas surgen al concatenar entradas de usuario sin filtrado, ejecutándose directamente en los pods objetivo gracias al uso privilegiado del Chaos Daemon en modo DaemonSet.
Riesgos asociados
La explotación de estas vulnerabilidades permite la ejecución remota de comandos (RCE). Un atacante podría mapear pods y acceder a tokens de servicio privilegiados. Puede lograrse el control completo del clúster y potencial afectación a todo su entorno.
Recomendaciones de mitigación
Se recomienda actualizar urgentemente a Chaos Mesh 2.7.3. Como medida temporal, se puede deshabilitar el control server usando Helm (set enableCtrlServer=false). Se sugiere aplicar controles RBAC restrictivos. Se recomienda limitar la exposición del puerto 10082. Se sugiere monitorizar posibles accesos y movimientos inusuales con kubectl y herramientas SIEM.