PT-2025-37474 · Unknown · Chaos Controller+1

Natan Nehorai · Publicado 2025-09-15 · Atualizado 2025-09-22 · CVE-2025-59359

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Chaos Mesh (versões afetadas não especificadas)

Descrição Existe uma falha de injeção de comando na mutação cleanTcs do Chaos Mesh. Essa falha permite que atacantes não autenticados dentro do cluster realizem execução remota de código em todo o cluster. A vulnerabilidade está relacionada à injeção de comando do sistema operacional.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

RCE

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2025-59359

GHSA-369H-6J28-WWCG

GO-2025-3952

OPENSUSE-SU-2025:15564-1

SUSE-SU-2025:03289-1

Produtos afetados

Chaos Controller

Chaos-Mesh

Referências · 56

• 🔥 https://jfrog.com/blog/chaotic-deputy-critical-vulnerabilities-in-chaos-mesh-lead-to-kubernetes-cluster-takeover · Exploit
• https://github.com/chaos-mesh/chaos-mesh/pull/4702 · Nota
• https://github.com/chaos-mesh/chaos-mesh/commit/67281c36f8068bf103149318cd0a466417213a28 · Nota
• https://github.com/chaos-mesh/chaos-mesh · Nota
• https://suse.com/security/cve/CVE-2025-54376 · Nota
• https://osv.dev/vulnerability/SUSE-SU-2025:03289-1 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2025-58430 · Nota
• https://suse.com/security/cve/CVE-2025-9084 · Nota
• https://suse.com/support/update/announcement/2025/suse-su-202503289-1 · Nota
• https://suse.com/security/cve/CVE-2025-4953 · Nota
• https://suse.com/security/cve/CVE-2024-58259 · Nota
• https://suse.com/security/cve/CVE-2025-58437 · Nota
• https://twitter.com/ZeroPathLabs/status/1967568584810307738 · Publicação no Twitter
• https://t.me/cveNotify/135458 · Publicação no Telegram
• https://suse.com/security/cve/CVE-2025-8396 · Nota