CVE-2025-59358
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 57 - wyżej niż 57% wszystkich znanych CVE
Streszczenie
Chaos Controller Manager w Chaos Mesh udostępnia bez uwierzytelniania serwer debugowania GraphQL całemu klastrowi Kubernetes, który oferuje API do zabijania dowolnych procesów w dowolnym podzie Kubernetes, co prowadzi do odmowy usługi w całym klastrze.
Ocena ryzyka
Nieuwierzytelniony atakujący w klastrze może zabijać procesy w dowolnych podach, powodując rozległą odmowę usługi i destabilizację środowiska.
Rekomendacja
Zaktualizuj Chaos Mesh do wersji zawierającej poprawkę i ogranicz dostęp do serwera GraphQL oraz sieci klastra.
Inne podatności w Chaos Mesh
Zobacz wszystkie- CVE-2025-59361Krytyczne
Mutacja cleanIptables w Chaos Controller Manager jest podatna na wstrzyknięcie poleceń systemu operacyjnego. W połączeniu z CVE-2025-59358 umożliwia to nieuwierzytelnionym atakującym wewnątrz klastra zdalne wykonanie kodu w całym klastrze.
- CVE-2025-59360Krytyczne
Mutacja killProcesses w Chaos Controller Manager jest podatna na wstrzyknięcie poleceń systemu operacyjnego. W połączeniu z CVE-2025-59358 umożliwia to nieuwierzytelnionym atakującym wewnątrz klastra zdalne wykonanie kodu w całym klastrze.
- CVE-2025-59359Krytyczne
Mutacja cleanTcs w Chaos Controller Manager jest podatna na wstrzyknięcie poleceń systemu operacyjnego. W połączeniu z CVE-2025-59358 umożliwia to nieuwierzytelnionym atakującym wewnątrz klastra zdalne wykonanie kodu w całym klastrze.
Oryginalny opis (angielski, źródło NVD)
The Chaos Controller Manager in Chaos Mesh exposes a GraphQL debugging server without authentication to the entire Kubernetes cluster, which provides an API to kill arbitrary processes in any Kubernetes pod, leading to cluster-wide denial of service.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS