Vulnerabilidades Críticas en Chaos Mesh Permiten Control Total de Clusters Kubernetes -

Vulnerabilidades Críticas en Chaos Mesh Permiten Control Total de Clusters Kubernetes

Investigadores de ciberseguridad han revelado la existencia de vulnerabilidades críticas en Chaos Mesh, una plataforma de ingeniería del caos de código abierto para Kubernetes. La explotación exitosa de estas vulnerabilidades, colectivamente llamadas ‘Chaotic Deputy’, podría resultar en el control total de los clusters Kubernetes.

Un atacante con un mínimo acceso a la red del cluster podría aprovechar estas vulnerabilidades para inyectar fallas, como el cierre de pods o la interrupción de las comunicaciones de red, y realizar acciones maliciosas adicionales, incluyendo el robo de tokens de cuentas de servicio privilegiadas.

Las vulnerabilidades específicas son:

* **CVE-2025-59358** (CVSS 7.5): Exposición de un servidor de depuración GraphQL sin autenticación, permitiendo matar procesos arbitrarios en cualquier pod de Kubernetes, lo que lleva a una denegación de servicio a nivel de cluster.
* **CVE-2025-59359** (CVSS 9.8): Vulnerabilidad de inyección de comandos del sistema operativo en la mutación `cleanTcs`.
* **CVE-2025-59360** (CVSS 9.8): Vulnerabilidad de inyección de comandos del sistema operativo en la mutación `killProcesses`.
* **CVE-2025-59361** (CVSS 9.8): Vulnerabilidad de inyección de comandos del sistema operativo en la mutación `cleanIptables`.

Un atacante interno podría encadenar CVE-2025-59359, CVE-2025-59360, CVE-2025-59361 con CVE-2025-59358 para ejecutar código de forma remota en todo el cluster.

Las vulnerabilidades se deben a la falta de mecanismos de autenticación adecuados en el servidor GraphQL de Chaos Controller Manager, permitiendo a atacantes no autenticados ejecutar comandos arbitrarios en el Chaos Daemon, lo que resulta en la toma de control del cluster. Esto podría permitir la exfiltración de datos sensibles, la interrupción de servicios críticos o el movimiento lateral a través del cluster para escalar privilegios.

Chaos Mesh abordó estas vulnerabilidades con el lanzamiento de la versión 2.7.3 el 21 de agosto de 2025. Se recomienda a los usuarios actualizar sus instalaciones a la última versión lo antes posible. Si la aplicación de parches inmediata no es posible, se recomienda restringir el tráfico de red al daemon y al servidor API de Chaos Mesh, y evitar ejecutar Chaos Mesh en entornos abiertos o con seguridad laxa.

Fuente original: Ver aquí

Comparte esta Noticia:

Noticias Relacionadas

Microsoft Outlook bloquea imágenes SVG inline para mitigar ataques de phishing y XSS

Microsoft ha anunciado que Outlook Web y el nuevo Outlook para Windows dejarán de mostrar imágenes SVG inline, una medida destinada a mitigar los crecientes ataques de phishing y cross-site scripting (XSS) que explotan esta funcionalidad. El cambio, que comenzó a implementarse a principios de septiembre de 2025, se espera

Clop Extorsiona a Clientes de Oracle E-Business Suite Explotando Vulnerabilidades de Julio de 2025

Oracle ha vinculado una campaña de extorsión en curso, atribuida al grupo de ransomware Clop, con vulnerabilidades en E-Business Suite (EBS) que fueron corregidas en julio de 2025. Rob Duhart, el Director de Seguridad de Oracle, confirmó que algunos clientes han recibido correos electrónicos de extorsión del grupo. Oracle recomienda

Gigante cervecero Asahi sufre ataque de ransomware que interrumpe la producción

Asahi Group Holdings, la cervecera más grande de Japón y propietaria de marcas como Peroni y Pilsner Urquell, ha confirmado que un ataque de ransomware fue la causa de las interrupciones en sus sistemas informáticos que obligaron a suspender la producción en sus fábricas esta semana. La empresa con sede

Nueva campaña de phishing impulsada por IA burla la seguridad del correo electrónico

Microsoft ha alertado sobre una sofisticada campaña de phishing dirigida principalmente a organizaciones en los Estados Unidos. Esta campaña se caracteriza por el uso de archivos SVG (Scalable Vector Graphics) maliciosos, cuyo código ha sido generado, presumiblemente, con la ayuda de modelos de lenguaje grandes (LLM). El objetivo principal de

Alerta Crítica: Vulnerabilidad en Sudo (CVE-2025-32463) Activamente Explotada en Sistemas Linux y Unix

La Agencia de Ciberseguridad y Seguridad de la Infraestructura de EE. UU. (CISA) ha añadido la vulnerabilidad CVE-2025-32463, que afecta a la utilidad de línea de comandos Sudo en sistemas Linux y Unix, a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV). Esta vulnerabilidad, con una puntuación CVSS de 9.3, reside

Nuevo Troyano Android Datzbro Dirigido a Personas Mayores Mediante Eventos Falsos de Viajes en Facebook con IA

Un nuevo troyano bancario para Android, denominado Datzbro, ha sido descubierto apuntando a personas mayores a través de engaños en Facebook. La campaña, detectada por ThreatFabric, utiliza grupos de Facebook que promocionan viajes para adultos mayores, empleando contenido generado por inteligencia artificial para organizar actividades falsas. Al mostrar interés, las

Únete a nuestras Noticias

El panorama de amenazas cambia cada día. ¿Está su empresa al tanto de las últimas vulnerabilidades? Suscríbase a nuestro Boletín de Inteligencia Semanal y reciba en su correo un resumen curado por nuestros ingenieros expertos.

Reciba alertas priorizadas sobre las vulnerabilidades que le afectan.
Entienda las nuevas tácticas y tendencias del cibercrimen.
Gratuito, sin spam y con la confianza de Ingeniería Telemática.