Chaos Mesh es una herramienta de chaos engineering muy popular en entornos Kubernetes. Permite simular fallos en pods, redes o nodos para probar la resiliencia de las aplicaciones. Sin embargo, durante septiembre de 2025 se han reportado vulnerabilidades críticas bajo el nombre “Chaotic Deputy”, siendo la más grave CVE-2025-59358, que afectan directamente a la seguridad de los clústeres.
Descripción de la vulnerabilidad
- Componente afectado: servidor GraphQL de Chaos Mesh.
- Problema: exposición de endpoints sin autenticación ni control de acceso.
- Impacto: un atacante puede ejecutar consultas maliciosas y manipular recursos internos del clúster.
- Riesgo: permite ejecución remota de comandos (RCE) y escalada de privilegios, pudiendo tomar control total del entorno Kubernetes.
Vectores de ataque
- Acceso remoto al servidor GraphQL expuesto en la red del clúster.
- Inyección de mutaciones maliciosas que ordenan la ejecución de experimentos no autorizados.
- Abuso de privilegios del Chaos Daemon, que opera con permisos elevados en nodos.
- Escalada de privilegios hasta comprometer el plano de control y workloads críticos.
Versiones afectadas
- Todas las versiones anteriores a 2.7.3 están comprometidas.
- Chaos Mesh 2.7.3 corrige el fallo cerrando el acceso no autenticado y reforzando la validación de peticiones.
Recomendaciones técnicas
- Actualizar inmediatamente a Chaos Mesh 2.7.3 o posterior.
- Restringir el acceso a GraphQL:
- Asegurar que el servicio solo sea accesible dentro del clúster.
- Implementar
NetworkPoliciespara aislarlo de tráfico no autorizado.
- Habilitar autenticación y RBAC en Chaos Mesh.
- Monitorizar logs de Kubernetes y Chaos Mesh para identificar actividad sospechosa.
- Escanear el clúster en busca de pods comprometidos tras la exposición.
- Revisar permisos del Chaos Daemon y aplicar el principio de privilegios mínimos.
Conclusión
La vulnerabilidad CVE-2025-59358 demuestra cómo incluso herramientas pensadas para fortalecer la resiliencia pueden convertirse en vectores críticos de ataque si no se actualizan. Chaos Mesh es ampliamente utilizado en entornos de pruebas y producción, por lo que los administradores de Kubernetes deben aplicar el parche con urgencia, restringir la exposición del servicio GraphQL y reforzar la seguridad del clúster.
