Chaos Mesh における複数の脆弱性が FIX：Kubernetes クラスタ乗っ取りの恐れ

Chaos Mesh Critical GraphQL Flaws Enable RCE and Full Kubernetes Cluster Takeover

2025/09/16 TheHackerNews — Chaos Mesh に複数の深刻なセキュリティ脆弱性が存在することを、サイバー・セキュリティ研究者たちが明らかにした。これらの脆弱性が悪用されると、Kubernetes 環境におけるクラスタの完全乗っ取りに至る可能性があるという。

JFrog のレポートには、「これらの脆弱性を悪用する攻撃者は、Pod のシャットダウンやネットワーク通信の妨害といった、プラットフォームに対するフォールト・インジェクションを実行できる。それにより、クラスタ内のネットワーク・アクセスを最小限に抑えながら、特権サービス・アカウント・トークンの窃取などの、さらなる悪意あるアクションを実行できる」と記されている。

Chaos Mesh とは、ソフトウェア開発ライフサイクル中に発生する異常を再現するための、さまざまな障害シミュレーションを提供する、OSS のクラウド・ネイティブ・カオス・エンジニアリング・プラットフォームである。

Chaotic Deputy と呼ばれる、これらの脆弱性は以下の通りである。

• CVE-2025-59358 (CVSS 7.5)：Chaos Controller Manager は Kubernetes クラスタ全体に対して、認証を必要としない GraphQL デバッグ・サーバを公開している。このサーバは、任意の Kubernetes Pod 内の任意のプロセスを kill する API を提供し、クラスタ全体にわたるサービス拒否攻撃につながる。
• CVE-2025-59359 (CVSS 9.8)：Chaos Controller Manager の cleanTcs ミューテーションに存在する、OS コマンド・インジェクションの脆弱性。
• CVE-2025-59360 (CVSS 9.8)：Chaos Controller Manager の killProcesses ミューテーションに存在する、OS コマンド・インジェクションの脆弱性。
• CVE-2025-59361 (CVSS 9.8)：Chaos Controller Manager の cleanIptables ミューテーションに存在する、OS コマンド・インジェクションの脆弱性。

クラスタ内において初期アクセス権を持つ攻撃者は、CVE-2025-59358／CVE-2025-59359／CVE-2025-59360／CVE-2025-59361 を連鎖させることで、Chaos Mesh 環境がデフォルト・コンフィグの状態であっても、クラスタ全体でリモート・コード実行 (RCE) を可能にする。

JFrog によると、これらの脆弱性は Chaos Controller Manager の GraphQL サーバにおける認証メカニズムの不備に起因しており、未認証の攻撃者に対して、Chaos Daemon 上での任意のコマンド実行を許し、クラスタ乗っ取りの可能性を引き起こす。さらに、このアクセス権を悪用する攻撃者は、機密データの窃取／重要サービスの妨害／クラスタ内での横方向への移動と権限昇格の可能性を手にする。

2025年5月6日の時点で、責任ある開示を受けた Chaos Mesh は、8月21日にバージョン 2.7.3 をリリースし、すべての特定された脆弱性を修正した。

ユーザーに推奨されるのは、最新のバージョンへの速やかなアップデートである。迅速なパッチ適用が不可能な場合には、Chaos Mesh デーモンおよび API サーバへのネットワーク・トラフィックを制限し、開放環境やセキュリティ対策が不十分な環境での Chaos Mesh 実行を避けることが望ましい。

Chaos Controller Manager の GraphQL デバッグ・サーバが認証なしで公開される脆弱性と、cleanTcs／killProcesses／cleanIptables といったミューテーションに OS コマンド注入の脆弱性があります。それらを悪用する未認証の攻撃者は、API により任意のプロセス停止やコマンド実行を可能にし、また、初期アクセスを得た後は、複数の脆弱性を連鎖させてクラスタ全体の制御を奪えると、この記事は指摘しています。ご利用のチームは、ご注意ください。