ثغرات حرجة في Chaos Mesh تتيح تنفيذ التعليمات البرمجية والاستيلاء الكامل على عناقيد Kubernetes

 المايسترو نيرو - قسم الثغرات / أمن السحابة

كشف باحثو الأمن السيبراني عن وجود ثغرات أمنية حرجة متعددة في منصة Chaos Mesh، والتي يمكن استغلالها بنجاح للاستيلاء على العناقيد (Clusters) في بيئة Kubernetes.

"يحتاج المهاجمون فقط إلى وصول شبكي داخلي بسيط إلى العنقود لاستغلال هذه الثغرات، وتنفيذ عمليات إدخال الأعطال (مثل إيقاف الـ Pods أو تعطيل اتصالات الشبكة)، وارتكاب أفعال ضارة أخرى، بما في ذلك سرقة رموز حسابات الخدمة ذات الصلاحيات العالية،" قالت JFrog في تقرير شاركته مع The Hacker News.

Chaos Mesh هو منصة مفتوحة المصدر للهندسة الفوضوية (Chaos Engineering) في البيئة السحابية الأصلية (Cloud-Native)، وتقدم أنواعًا مختلفة من محاكاة الأعطال لمحاكاة التشوهات التي قد تحدث أثناء دورة حياة تطوير البرمجيات.

تُعرف هذه الثغرات مجتمعة باسم "Chaotic Deputy"، وتتضمن:

• CVE-2025-59358 (بدرجة CVSS: 7.5) - يعرض مدير تحكم Chaos Mesh خادم تصحيح GraphQL دون مصادقة إلى العنقود Kubernetes بالكامل، مما يوفر واجهة برمجة تمكن من إيقاف أي عملية داخل أي Pod، يؤدي إلى تعطيل الخدمة على مستوى العنقود.
• CVE-2025-59359 (بدرجة CVSS: 9.8) - عرضة لهجوم حقن أوامر نظام التشغيل عبر عملية cleanTcs.
• CVE-2025-59360 (بدرجة CVSS: 9.8) - عرضة لهجوم حقن أوامر نظام التشغيل عبر عملية killProcesses.
• CVE-2025-59361 (بدرجة CVSS: 9.8) - عرضة لهجوم حقن أوامر نظام التشغيل عبر عملية cleanIptables.

يمكن للمهاجم الذي لديه وصول أولي إلى شبكة العنقود (In-cluster attacker) ربط عدة ثغرات مثل CVE-2025-59359 وCVE-2025-59360 وCVE-2025-59361 مع CVE-2025-59358 لتنفيذ تعليمات برمجية عن بُعد عبر العنقود بأكمله، حتى في التكوين الافتراضي لـ Chaos Mesh.

أشارت JFrog إلى أن هذه الثغرات ناتجة عن آليات مصادقة غير كافية داخل خادم GraphQL الخاص بمدير التحكم في Chaos Mesh، مما يسمح للمهاجمين غير المصادقين بتشغيل أوامر عشوائية على خادم Chaos Daemon، مما يؤدي إلى الاستيلاء الكامل على العنقود.

يمكن للمهاجمين بعد ذلك استغلال هذا الوصول لسرقة بيانات حساسة، أو تعطيل الخدمات الحيوية، أو الانتقال أفقيًا عبر العنقود لرفع صلاحياتهم.

بعد الإفصاح المسؤول في 6 مايو 2025، تم معالجة جميع الثغرات من قبل فريق Chaos Mesh بإصدار النسخة 2.7.3 في 21 أغسطس.

يُنصح المستخدمون بتحديث تثبيتاتهم إلى أحدث إصدار في أسرع وقت ممكن. وإذا لم يكن التصحيح الفوري خيارًا، يُوصى بتقييد حركة المرور الشبكية نحو خادم ديمن (Daemon) وواجهة برمجة التطبيقات الخاصة بـ Chaos Mesh، وتجنب تشغيل Chaos Mesh في بيئات مفتوحة أو غير مؤمنة بشكل جيد.

آخر تحديث: 7 أكتوبر 2025