MtoM Mag - Le journal de l'MtoM.

L’équipe de recherche en sécurité de JFrog a découvert et révélé plusieurs vulnérabilités critiques, collectivement nommées « Chaotic Deputy », dans Chaos Mesh, une plateforme d’ingénierie largement adoptée dans les environnements Kubernetes.

Les quatre vulnérabilités identifiées, classées comme critiques (CVSS 9,8), peuvent être facilement exploitées par des pirates disposant d’un accès au cluster, exposant ainsi à un risque immédiat les organisations qui utilisent Chaos Mesh, y compris celles qui exploitent une infrastructure gérée telle qu’Azure Chaos Studio. Les pirates n’ont besoin que d’un accès réseau minimal au cluster pour exploiter ces vulnérabilités, exécuter les injections de fautes de la plateforme (telles que l’arrêt des pods ou la perturbation des communications réseau) et effectuer d’autres actions malveillantes, notamment le vol de jetons de compte de service privilégiés.

« Les plateformes telles que Chaos Mesh donnent, de par leur conception, un contrôle total du cluster Kubernetes à la plateforme », a déclaré Shachar Menashe, VP Security Research chez JFrog. « Cette flexibilité peut devenir un risque critique lorsque des vulnérabilités telles que Chaotic Deputy sont découvertes. Nous recommandons aux utilisateurs de Chaos Mesh de procéder rapidement à la mise à jour, car ces vulnérabilités sont extrêmement faciles à exploiter et peuvent conduire à la prise de contrôle totale du cluster. Nous tenons également à remercier les responsables de Chaos Mesh pour leur réaction rapide et leur collaboration dans la résolution de ces problèmes de sécurité critiques. » Les vulnérabilités provenaient de mécanismes d’authentification insuffisants au sein du serveur GraphQL du Chaos Controller Manager, permettant à des attaquants non authentifiés d’exécuter des commandes dévastatrices, notamment des injections de commandes OS arbitraires et des attaques par déni de service, aboutissant à la prise de contrôle totale du cluster. L’exploitation permet aux attaquants d’exécuter du code arbitraire sur n’importe quel pod du cluster, même lorsque Chaos Mesh fonctionne dans sa configuration par défaut, ce qui leur permet potentiellement d’exfiltrer des données sensibles, de perturber des services critiques ou de se déplacer latéralement dans le cluster pour escalader les privilèges.

Les utilisateurs de Chaos Mesh peuvent exécuter la commande shell suivante pour vérifier leur statut de vulnérabilité :

Si la version de l’image Chaos Mesh renvoyée est antérieure à 2.7.3, les mesures correctives suggérées sont recommandées :

 Il faut passer immédiatement à la version 2.7.3 ou ultérieure.

 En cas d’impossibilité de mise à niveau immédiate, limiter le trafic réseau vers le démon Chaos Mesh et le serveur API afin de réduire l’exposition.

 Éviter d’exécuter Chaos Mesh dans des environnements ouverts ou peu sécurisés, en particulier ceux accessibles à des charges de travail potentiellement compromises.