Dell закрыла критические уязвимости в Container Storage Modules для Kubernetes

Dell выпустила исправления для двух уязвимостей максимальной степени опасности в Container Storage Modules (CSM) — наборе компонентов, которые связывают корпоративные СХД Dell с окружениями Kubernetes. CSM поддерживает основные платформы хранения компании (PowerStore, PowerScale, PowerFlex, PowerMax и Unity XT) и расширяет возможности стандартных драйверов Container Storage Interface (CSI).

В опубликованном в четверг бюллетене безопасности Dell сообщила, что обе критические уязвимости обнаружены в модуле авторизации CSM Authorization и связаны с отсутствием проверки подлинности для критически важных функций.

Полный административный контроль без аутентификации

Первая уязвимость (CVE-2026-63688) позволяет удалённому неаутентифицированному злоумышленнику получить учётные данные администратора всех зарегистрированных массивов хранения и в обход авторизации установить полный административный контроль над инфраструктурой хранения.

Вторая уязвимость (CVE-2026-63692) затрагивает прокси авторизации и сервис арендаторов и также позволяет злоумышленнику получить права администратора, обходя механизмы аутентификации. По словам Dell, это даёт нарушителю возможность не только получать доступ к ресурсам хранения, но и манипулировать ими в масштабах всех арендаторов.

В тот же день компания закрыла ещё четыре критические уязвимости CSM. Их эксплуатация позволяет удалённым атакующим без привилегий получить права root на узлах кластера (CVE-2026-67269), административный доступ к прокси CSM Authorization (CVE-2026-54472), подделывать токены аутентификации ради административных прав (CVE-2026-61421), а также обходить средства контроля доступа Kubernetes и читать Kubernetes Secrets в масштабах всего кластера (CVE-2026-67273).

Dell рекомендует клиентам как можно скорее обновить Container Storage Modules до версии 1.18.0 или новее, в которой устранены все перечисленные проблемы.

Риски не гипотетические

Пока Dell не отмечала эти уязвимости как эксплуатируемые в реальных атаках, однако в прошлые годы другие бреши в продуктах компании активно использовались. Так, северокорейская группа Lazarus развернула Windows-руткит, воспользовавшись уязвимостью в драйвере Dell dbutil (CVE-2021-21551).

В феврале Mandiant и Google Threat Intelligence Group сообщили, что предположительно китайская группировка UNC6201 с середины 2024 года эксплуатировала уязвимость с жёстко прописанными учётными данными (CVE-2026-22769) в Dell RecoverPoint for Virtual Machines, разворачивая вредоносное ПО и создавая скрытые сетевые интерфейсы на серверах VMware ESXi. Спустя несколько дней американское агентство CISA обязало госучреждения устранить уязвимые системы Dell в течение трёх суток.

Источник: Bleeping Computer