Threat model independente do Linkerd aponta 30 ameaças, quase todas ligadas a configuração

O trabalho partiu da ControlPlane, consultoria de segurança cloud native, por iniciativa própria. Ela mapeou como um atacante ou uma configuração ruim poderia minar o Linkerd open source e entregou o resultado aos criadores antes de publicar. O escopo cobre control plane, proxies do data plane e a conexão de tráfego entre clusters. Os autores deixam claro que não houve pentest nem auditoria de código. O foco é risco de implantação e mitigação.

São 30 ameaças (28 de risco médio ou alto) e 33 recomendações. Só uma é bug de software, a CVE-2025-43915, um problema de métricas corrigido na edge-25.2.1 em fevereiro de 2025, desligando por padrão os labels afetados. O resto vem de como o Linkerd e o Kubernetes ao redor são configurados, então o usuário resolve sem esperar release. Os padrões abertos existem de propósito: política de negar conexões sem malha quebraria o tráfego de quem adota namespace a namespace, e o injector deixa workloads subirem se estiver fora do ar para não travar todos os deploys.

Na prática, as recomendações incluem: webhookFailurePolicy: Fail com control plane em alta disponibilidade, política inbound padrão em deny (com cluster-authenticated ou all-authenticated como etapa temporária), trust anchor fora do cluster em KMS, HSM, OpenBao ou Vault, rotação do issuer via cert-manager com alertas, Pod Security Standards e plugin CNI do Linkerd. Em modo ingress, o controller deve remover ou sobrescrever o header l5d-dst-override. Em multicluster, convém restringir as identidades aceitas no gateway e manter as políticas por GitOps.

Para quem opera Linkerd em produção, a leitura é uma checklist de hardening. Boa parte do risco está em valores de Helm e em processos como rotação de certificados, que cabem em pipeline e em revisão de IaC. O mapeamento para MITRE ATT&CK e NIST 800-53 também ajuda a levar o tema a times de auditoria sem tradução. Já a ressalva de que não houve pentest indica que o relatório não esgota o risco.