Dell выпустила обновления безопасности для устранения нескольких критических уязвимостей в модулях хранения контейнеров Dell (CSM), которые могут быть использованы злоумышленниками для захвата уязвимых систем.
Уязвимости перечислены ниже -
CVE-2026-63688 (CVSS score: 10.0) - Уязвимость отсутствия аутентификации для критической функции в gRPC-сервере csm-authorization-storage, которую может использовать неаутентифицированный удаленный атакующий для получения несанкционированного доступа к учетным данным администратора хранилища для всех зарегистрированных массивов хранения.
CVE-2026-63692 (CVSS score: 10.0) - Уязвимость отсутствия аутентификации для критической функции в прокси авторизации и службе арендаторов, которую может использовать неаутентифицированный сетевой атакующий для обхода средств управления аутентификацией и получения привилегий на уровне администратора.
CVE-2026-67269 (CVSS score: 9.9) - Уязвимость неправильного управления привилегиями в reconciler Custom Resource ContainerStorageModule, которую может использовать удаленный атакующий с низкими привилегиями для эскалации привилегий и получения доступа на уровне root на узлах кластера.
CVE-2026-54472 (CVSS score: 9.8) - Уязвимость использования жестко закодированных учетных данных в модуле авторизации CSM, которую может использовать удаленный неаутентифицированный атакующий для подделки криптографически действительных административных токенов и получения несанкционированного административного доступа к прокси авторизации CSM.
CVE-2026-61421 (CVSS score: 9.8) - Уязвимость использования жестко закодированного криптографического ключа в компоненте аутентификации JWT karavi-authorization, которую может использовать удаленный неаутентифицированный атакующий, обладающий знанием этого общедоступного секретного ключа подписи, для подделки токенов аутентификации и получения административных привилегий.
CVE-2026-67273 (CVSS score: 9.6) - Уязвимость неправильной нейтрализации специальных элементов, используемых в шаблонном движке, которую может использовать атакующий с низкими привилегиями и удаленным доступом для эскалации привилегий, доступа к конфиденциальной информации и проведения несанкционированного вмешательства в RBAC.
"Эта уязвимость считается критической, так как она позволяет полностью обойти модель безопасности csm-authorization, позволяя атакующему получить полный административный контроль над инфраструктурой хранения, охватывающей все пять поддерживаемых семейств продуктов хранения Dell," - заявила компания Dell о CVE-2026-63688.
Что касается CVE-2026-63692, то Dell отметила, что успешная эксплуатация может позволить неаутентифицированному атакующему получить полный административный контроль над службой авторизации и позволить им получить доступ или манипулировать ресурсами хранения для всех арендаторов.
Производитель ПК также отметил, что атакующий может использовать CVE-2026-67269 для компрометации всех узлов в кластере Kubernetes через одно представление пользовательского ресурса. CVE-2026-54472, с другой стороны, может быть использована для обхода средств управления аутентификацией для прокси авторизации CSM и разрешения несанкционированного управления политиками доступа к хранилищу для всех подключенных арендаторов. Dell рекомендует клиентам применить обновления и изменить любые секреты подписи JWT.
"Успешная эксплуатация предоставляет атакующему доступ к чтению на уровне кластера к Kubernetes Secrets и возможность создавать ресурсы RBAC, охватывающие кластер, эффективно обходя предусмотренные средства управления доступом Kubernetes," - заявила Dell в своем уведомлении о CVE-2026-67273.
Уязвимости, которые затрагивают все версии CSM до 1.17.0, были устранены в версии 1.18.0. Нет обходных путей или смягчений, кроме как обновления до последней версии. Учитывая, что уязвимости в продуктах Dell (CVE-2021-21551 и CVE-2026-22769) подвергались активной эксплуатации в последние годы, крайне важно применить необходимые исправления для оптимальной защиты.
Считаете эту статью интересной? Подписывайтесь на нас в Google News, Twitter и LinkedIn, чтобы читать больше эксклюзивного контента, который мы публикуем.