Dell публикува актуализация за сигурност DSA-2026-448 за отстраняване на множество критични уязвимости в своите Container Storage Modules, включително дефекти, които биха могли да позволят на неавтентифицирани отдалечени атакуващи да поемат пълен административен контрол над засегнатите среди за съхранение на данни.

Организациите, използващи уязвими Dell CSM внедрявания, трябва незабавно да извършат обновяване, тъй като от Dell заявиха, че липсват налични временни решения или мерки за смекчаване на риска.

Бюлетинът за сигурност засяга версиите на Dell Container Storage Modules преди 1.17.0, като корекции за сигурност са налични във версия 1.18.0 и по-нови, покривайки CSM Authorization, CSM Operator, CSI компоненти и Go библиотеки на трети страни.

Най-сериозните уязвимости са CVE-2026-63688 и CVE-2026-63692, като и двете са с CVSS оценка 10.0. CVE-2026-63688 е уязвимост поради липсваща автентикация в csm-authorization-storage gRPC сървъра в CSM Authorization версия 2.4.0.

Неавтентифициран атакуващ би могъл да експлоатира дефекта, за да достъпи административни идентификационни данни за всички регистрирани масиви за съхранение, потенциално получавайки контрол върху петте поддържани продуктови фамилии за съхранение на данни на Dell.

Достъпът до административни данни за достъп до бекенда би могъл да позволи на киберпрестъпник да променя конфигурациите за съхранение, да достъпва чувствителни данни, да нарушава работните процеси или да създава персистентни пътища за достъп в средата.

Критични уязвимости в Dell Container Storage

CVE-2026-63692 също засяга CSM Authorization версия 2.4.0. Уязвимостта съществува в проксито за авторизация и услугата за наематели (tenant service), където критични функции могат да бъдат достигнати без подходяща автентикация.

Успешната експлоатация би могла да позволи на мрежов атакуващ да заобиколи контрола за автентикация и да ескалира привилегиите си до административно ниво. Това би могло да разкрие и позволи манипулиране на ресурсите за съхранение във всички среди на наематели.

Друг критичен проблем, CVE-2026-54472, е уязвимост от тип твърдо кодирани идентификационни данни (hard-coded credentials) в CSM Authorization. Дефектът би могъл да позволи на неавтентифициран отдалечен атакуващ да фалшифицира криптографски валидни административни JSON Web Tokens и да получи администраторски достъп до проксито на CSM Authorization.

Dell оцени уязвимостта с CVSS 9.8 и препоръча подмяна на тайните ключове за подписване на JWT след обновяването. Бюлетинът обръща внимание и на CVE-2026-61421 в архивирания компонент karavi-authorization.

От Dell посочват, че по-стара документация е използвала тайния ключ за подписване на JWT „supersecret“ заедно с пример за реален токен. Организации, които са внедрили karavi-authorization с тази документирана стойност и никога не са променяли ключа за подписване, могат да останат изложени на атаки с фалшифицирани токени и поемане на административен контрол.

CVE-2026-67269 в Dell CSM Operator 1.12.0 би могла да позволи на отдалечени потребители с ниски привилегии да получат root достъп до Kubernetes възли чрез зловреден ContainerStorageModule ресурс. Dell я оцени с 9.9 поради потенциала за компрометиране на целия клъстер.

CVE-2026-67273, оценена с 9.6, би могла да позволи на атакуващ с ниски привилегии да достъпи Kubernetes Secrets и да създаде RBAC ресурси на ниво клъстер чрез инжектиране в темплейтния механизъм (template-engine injection). Такъв достъп ефективно би заобиколил предвидените Kubernetes разрешения и би дал широк контрол върху ресурсите на клъстера.

Други дефекти включват неправилна валидация на сертификати, липсваща авторизация в Dell CSI Driver за PowerMax, разкриване на чувствителна информация чрез логове и уязвимости, засягащи CSI драйвери за PowerFlex, PowerMax и PowerStore.

Актуализацията адресира и уязвимости в Go компоненти на трети страни, включително golang.org/x/crypto, golang.org/x/net, golang-jwt/jwt и protobuf.

Dell препоръчва възможно най-скоро да се извърши обновяване на всички засегнати внедрявания на Container Storage Modules до версия 1.18.0 или по-нова. Екипите по сигурност трябва също така да подменят JWT тайните ключове, да прегледат логовете за достъп на CSM Authorization, да одитират използването на административни токени и да проверят Kubernetes RBAC политиките и персонализираните ресурси за неразрешени промени.