戴尔已发布安全更新，以解决戴尔容器存储模块（CSM）中的多个关键安全漏洞，这些漏洞可能被恶意行为者利用以接管易受攻击的系统。
漏洞如下所示 -
CVE-2026-63688（CVSS 分数：10.0） - csm-authorization-storage gRPC 服务器中的关键功能缺失身份验证漏洞，未经身份验证的远程攻击者可以利用该漏洞获取所有注册存储阵列的存储后端管理员凭据的未授权访问。
CVE-2026-63692（CVSS 分数：10.0） - 授权代理和租户服务中的关键功能缺失身份验证漏洞，未经身份验证的网络攻击者可以利用该漏洞绕过身份验证控制并获得管理员级别的权限。
CVE-2026-67269（CVSS 分数：9.9） - ContainerStorageModule 自定义资源调解器中的不当权限管理漏洞，低权限的远程攻击者可以利用该漏洞提升权限并获得集群节点的根级访问权限。
CVE-2026-54472（CVSS 分数：9.8） - CSM 授权模块中的硬编码凭据使用漏洞，未经身份验证的远程攻击者可以利用该漏洞伪造加密有效的管理令牌并获得对 CSM 授权代理的未授权管理访问。
CVE-2026-61421（CVSS 分数：9.8） - karavi-authorization 的 JWT 身份验证组件中的硬编码加密密钥使用漏洞，具有此公开可用签名密钥知识的未经身份验证的远程攻击者可以利用该漏洞伪造身份验证令牌并获得管理员权限。
CVE-2026-67273（CVSS 分数：9.6） - 模板引擎中使用的特殊元素的不当中和漏洞，低权限的具有远程访问权限的攻击者可以利用该漏洞提升权限、访问敏感信息并进行未授权的 RBAC 篡改。
“该漏洞被认为是关键的，因为它使 csm-authorization 安全模型完全绕过，允许攻击者获得对跨越所有五个受支持的戴尔存储产品系列的存储基础设施的完全管理员控制，”戴尔在关于 CVE-2026-63688 的声明中表示。
至于 CVE-2026-63692，戴尔指出，成功利用该漏洞可能使未经身份验证的攻击者获得对授权服务的完全管理员控制，并允许他们访问或操纵所有租户的存储资源。
这家 PC 制造商还指出，攻击者可以利用 CVE-2026-67269 通过单个自定义资源提交来危害 Kubernetes 集群中的所有节点。另一方面，CVE-2026-54472 可以被武器化以绕过 CSM 授权代理的身份验证控制，并启用对所有连接租户的存储访问策略的未授权管理。戴尔建议客户应用更新并轮换任何 JWT 签名密钥。
“成功利用使攻击者获得对 Kubernetes Secrets 的集群范围内读取访问权限，并能够创建集群范围的 RBAC 资源，有效绕过预期的 Kubernetes 访问控制，”戴尔在其关于 CVE-2026-67273 的建议中表示。
这些漏洞影响所有版本的 CSM（1.17.0 之前），已在 1.18.0 中得到解决。除了更新到最新版本外，没有其他解决方法或缓解措施。由于戴尔产品中的漏洞（CVE-2021-21551 和 CVE-2026-22769）近年来已受到积极利用，因此应用必要的修复以获得最佳保护至关重要。
觉得这篇文章有趣吗？请在 Google 新闻、Twitter 和 LinkedIn 上关注我们，以阅读更多我们发布的独家内容。