Mobile-Menu

Sicherheitslücken in Chaos Mesh Angreifer können gezielt Kubernetes-Umgebungen stören

Quelle: Pressemitteilung 2 min Lesedauer

Anbieter zum Thema

JFrog
FTAPI Software GmbH

JFrog warnt vor „Chaotic Deputy“, drei kritischen Sicherheitslücken in der Open-Source-Lösung Chaos Mesh. Diese gefährden Kubernetes-Umge­bungen und sogar Azure Chaos Studio.

Angriffe auf Kubernetes-Cluster in Cloud-Umgebungen können durch die „Chaotic Deputy“-Sicherheitslücken zur vollständigen Kompromittierung führen.(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)
Angriffe auf Kubernetes-Cluster in Cloud-Umgebungen können durch die „Chaotic Deputy“-Sicherheitslücken zur vollständigen Kompromittierung führen.
(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Das JFrog Security Research Team berichtet, mehrere Sicherheitslücken in Chaos Mesh ge­funden zu haben. Dabei handelt es sich um eine Open-Source-Plattform, die in Kubernetes-Umgebungen eingesetzt wird, um gezielt Störfälle zu erzeugen, wie zum Beispiel Fehler im Netzwerk, Speicher oder der CPU. Damit lässt sich testen, wie robust eine Anwendung ist. Konkret will das Team von JFrog vier Schwachstellen gefunden haben, die unter dem Namen „Chaotic Deputy“ zusammengefasst wurden:

Die drei zuerst genannten haben jeweils eine CVSS-Bewertung von 9.8 und sind somit als kritisch eingestuft worden. Sie ermöglichen es Cyberangreifern mit Zugriff innerhalb des Clusters, die vollständige Kontrolle über die Umgebung zu erlangen. Betroffen von diesen Schwachstellen sind die Chaos-Mesh-Versionen vor 2.7.3.

Manipulation und Cluster-Übernahme

Plattformen, die Chaos Mesh einsetzen, sind somit durch Chaotic Deputy gefährdet. Darunter laut JFrog auch Azure Chaos Studio. Die Akteure würden nur einen minimalen internen Netz­werkzugriff benötigen, um die Schwachstellen auszunutzen. Danach seien sie in der Lage, Chaos Mesh gezielt zu manipulieren, zum Beispiel durch das Abschalten von Pods oder das Stören der Netzwerkkommunikation. Ebenso könnten die Angreifer privilegierte Service-Account-Tokens stehlen.

Die Schwachstellen seien auf unzureichende Authentifizierungsmechanismen im GraphQL-Server des Chaos Controller Managers zurückzuführen. Dies ermögliche es nicht authen­ti­fi­zierten Angreifern kritische Befehle auszuführen, darunter das Einschleusen beliebiger Be­triebssystemkommandos oder das Auslösen von Denial-of-Service-Angriffen (DoS). Selbst in der Standardkonfiguration würden sich auf diese Weise beliebige Kommandos in beliebigen Pods des Clusters ausführen lassen. Die potenziellen Folgen sind den Experten zufolge gra­vier­end: von der Exfiltration sensibler Daten über die Beeinträchtigung geschäftskritischer Dienste bis hin zur lateralen Bewegung innerhalb des Clusters und einer weiteren Eskalation von Berechtigungen.

„Plattformen wie Chaos Mesh haben per Design umfassenden Zugriff auf den Kubernetes-Cluster“, erklärt Shachar Menashe, VP Security Research bei JFrog. „Diese Flexibilität wird zum Risiko, wenn Schwachstellen wie Chaotic Deputy entdeckt werden. Wir empfehlen Nutzern dringend ein schnelles Upgrade, da diese Sicherheitslücken äußerst leicht auszunutzen sind und eine vollständige Übernahme des Clusters ermöglichen.“

Betroffenheit prüfen und Abhilfemaßnahmen einsetzen

JFrog veröffentlicht neben dem Bericht über die Schwachstellen einen Hinweis, wie Chaos-Mesh-User überprüfen können, ob ihr System betroffen ist. Dazu müssen sie folgenden Shell-Befehl ausführen:

kubectl get pods -A --selector app.kubernetes.io/name=chaos-mesh -o=jsonpath="{range .items[*]}{.metadata.name}{': '}{range .spec.containers[*]}{.image}{', '}{end}{'\n'}{end}"

Dieser Befehl listet alle Chaos Mesh Pods auf und zeigt Container-Images an, die in den Pods laufen. So sehen Nutzer, welche Images aktuell im Cluster verwendet werden. Daraus lassen sich die Versionen ableiten und auf bekannte Sicherheitslücken prüfen.

Admins sollten schnellstmöglich auf die gefixte Version 2.7.3 upgraden, um Risiken zu minimieren. Falls ein Upgrade nicht sofort möglich ist, empfehlen die Forschenden folgende Maßnahmen:

  • Beschränkung des Netzwerkzugriffs auf den Chaos Mesh Daemon und den API-Server
  • Vermeiden des Einsatzes von Chaos Mesh in offenen oder schwach gesicherten Umge­bungen. Insbesondere, wenn diese potenziell kompromittierten Workloads zugänglich sind.

(ID:50553711)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte