CVE-2025-59360
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 87 - wyżej niż 87% wszystkich znanych CVE
Streszczenie
Mutacja killProcesses w Chaos Controller Manager jest podatna na wstrzyknięcie poleceń systemu operacyjnego. W połączeniu z CVE-2025-59358 umożliwia to nieuwierzytelnionym atakującym wewnątrz klastra zdalne wykonanie kodu w całym klastrze.
Ocena ryzyka
Atakujący z dostępem do klastra może wykonać dowolne polecenia na węzłach, co prowadzi do przejęcia klastra i poważnego naruszenia bezpieczeństwa.
Rekomendacja
Zaktualizuj Chaos Mesh do wersji zawierającej poprawkę i ogranicz dostęp do serwera GraphQL oraz sieci klastra.
Inne podatności w Chaos Mesh
Zobacz wszystkie- CVE-2025-59361Krytyczne
Mutacja cleanIptables w Chaos Controller Manager jest podatna na wstrzyknięcie poleceń systemu operacyjnego. W połączeniu z CVE-2025-59358 umożliwia to nieuwierzytelnionym atakującym wewnątrz klastra zdalne wykonanie kodu w całym klastrze.
- CVE-2025-59359Krytyczne
Mutacja cleanTcs w Chaos Controller Manager jest podatna na wstrzyknięcie poleceń systemu operacyjnego. W połączeniu z CVE-2025-59358 umożliwia to nieuwierzytelnionym atakującym wewnątrz klastra zdalne wykonanie kodu w całym klastrze.
- CVE-2025-59358Wysokie
Chaos Controller Manager w Chaos Mesh udostępnia bez uwierzytelniania serwer debugowania GraphQL całemu klastrowi Kubernetes, który oferuje API do zabijania dowolnych procesów w dowolnym podzie Kubernetes, co prowadzi do odmowy usługi w całym klastrze.
Oryginalny opis (angielski, źródło NVD)
The killProcesses mutation in Chaos Controller Manager is vulnerable to OS command injection. In conjunction with CVE-2025-59358, this allows unauthenticated in-cluster attackers to perform remote code execution across the cluster.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS