Dell публикува актуализации за сигурност за отстраняване на множество критични уязвимости в Dell Container Storage Modules (CSM), които биха могли да бъдат експлоатирани от злонамерени субекти за поемане на контрол върху засегнати системи.

Уязвимостите са изброени по-долу –

  • CVE-2026-63688 (оценка по CVSS: 10.0) – Уязвимост, свързана с липсваща автентификация за критична функция в gRPC сървъра csm-authorization-storage, която неавтентикиран отдалечен атакуващ би могъл да експлоатира, за да получи неоторизиран достъп до администраторски идентификационни данни за бекенда за съхранение на всички регистрирани масиви за данни.
  • CVE-2026-63692 (оценка по CVSS: 10.0) – Уязвимост, свързана с липсваща автентификация за критична функция в проксито за оторизация и услугата за наематели (tenant service), която неавтентикиран мрежов атакуващ би могъл да експлоатира, за да заобиколи контрола за автентификация и да получи привилегии на администраторско ниво.
  • CVE-2026-67269 (оценка по CVSS: 9.9) – Уязвимост, свързана с неправилно управление на привилегиите в reconciler-а на ContainerStorageModule Custom Resource, която отдалечен атакуващ с ниски привилегии би могъл да експлоатира за ескалация на привилегии и получаване на достъп от ниво root върху възлите на клъстера.
  • CVE-2026-54472 (оценка по CVSS: 9.8) – Уязвимост, свързана с използването на твърдо кодирани (hard-coded) идентификационни данни в модула CSM Authorization, която отдалечен неавтентикиран атакуващ би могъл да експлоатира, за да фалшифицира криптографски валидни администраторски токени и да получи неоторизиран администраторски достъп до проксито на CSM Authorization.
  • CVE-2026-61421 (оценка по CVSS: 9.8) – Уязвимост, свързана с използването на твърдо кодиран криптографски ключ в компонента за JWT автентификация на karavi-authorization, която отдалечен неавтентикиран атакуващ, разполагащ с информация за този публично достъпен ключ за подписване, би могъл да експлоатира за фалшифициране на токени за автентификация и получаване на администраторски привилегии.
  • CVE-2026-67273 (оценка по CVSS: 9.6) – Уязвимост, свързана с неправилно неутрализиране на специални елементи, използвани в двигател за шаблони (template engine), която атакуващ с ниски привилегии и отдалечен достъп би могъл да експлоатира за ескалация на привилегии, достъп до чувствителна информация и извършване на неоторизирана манипулация на RBAC.

„Тази уязвимост се счита за критична, тъй като позволява пълно заобикаляне на модела за сигурност на csm-authorization, давайки възможност на атакуващ да придобие пълен администраторски контрол върху инфраструктурата за съхранение в петте поддържани продуктови фамилии на Dell“, заявяват от Dell относно CVE-2026-63688.

Относно CVE-2026-63692 Dell отбелязва, че успешното експлоатиране би могло да позволи на неавтентикиран атакуващ да получи пълен администраторски контрол върху услугата за оторизация и да му разреши достъп или манипулиране на ресурсите за съхранение във всички наематели.

Производителят на компютри също така посочва, че атакуващ може да експлоатира CVE-2026-67269, за да компрометира всички възли в даден Kubernetes клъстер чрез изпращане на единичен потребителски ресурс (custom resource). От друга страна, CVE-2026-54472 може да бъде използвана за заобикаляне на механизмите за автентификация на проксито за CSM Authorization и да позволи неоторизирано управление на политиките за достъп до хранилището във всички свързани наематели. Dell препоръчва на клиентите да инсталират корекциите за сигурност и да подменят всички тайни за подписване на JWT.

„Успешното експлоатиране предоставя на атакуващия достъп за четене в целия клъстер до Kubernetes Secrets и възможност за създаване на RBAC ресурси на ниво клъстер, като ефективно заобикаля предвидените контроли за достъп на Kubernetes“, посочва Dell в своя бюлетин относно CVE-2026-67273.

Уязвимостите засягат всички версии на CSM преди 1.17.0 и са отстранени във версия 1.18.0. Няма налични временни решения или алтернативни мерки освен обновяването до най-новата версия. Тъй като уязвимости в продукти на Dell (CVE-2021-21551 и CVE-2026-22769) бяха активно експлоатирани през последните години, от решаващо значение е да се инсталират необходимите корекции за сигурност за оптимална защита.