San Chaotic Deputy, che scatenò il caos nel cluster

Patrono degli strumenti di chaos engineering, dei server GraphQL senza autenticazione e dei cluster Kubernetes presi tutti insieme.

Vita

Il 16 settembre 2025 Natan Nehorai di JFrog rivelò Chaotic Deputy, quattro falle in Chaos Mesh, lo strumento che inietta guasti controllati nei cluster Kubernetes per metterne alla prova la robustezza. Il controller esponeva, attivo di default, un server GraphQL senza autenticazione all'intero cluster; tre mutazioni soffrivano di command injection. Da un semplice pod si poteva eseguire codice ovunque e rubare i token privilegiati, fino al controllo dell'intero cluster.

Preghiera

O San Chaotic Deputy, che semini guasti per mestiere e disastri per difetto, fa' che i nostri strumenti di caos chiedano sempre chi sei. Amen.

Come si festeggia

Si festeggia aggiornando Chaos Mesh alla 2.7.3 o disattivando il server di controllo con enableCtrlServer=false.

Chi semina guasti per prova, raccolga almeno un'autenticazione.