A Dell biztonsági frissítéseket adott ki több kritikus sebezhetőségre a Dell Container Storage Modules (CSM) komponenseiben. A hibákat támadók kihasználhatják, és teljesen átvehetik az érintett rendszerek irányítását.

A sebezhetőségek a következők:

• CVE-2026-63688 (CVSS pontszám: 10,0) – Hiányzó hitelesítés kritikus funkcióhoz a csm-authorization-storage gRPC szerverben. Egy távoli, nem hitelesített támadó jogosulatlanul megszerezheti az összes regisztrált storage array tároló backend adminisztrátori hitelesítő adatait.
• CVE-2026-63692 (CVSS pontszám: 10,0) – Hiányzó hitelesítés kritikus funkcióhoz az authorization proxyban és a tenant szolgáltatásban. Egy hálózati, nem hitelesített támadó megkerülheti a hitelesítési ellenőrzéseket, és adminisztrátori szintű jogosultságot szerezhet.
• CVE-2026-67269 (CVSS pontszám: 9,9) – Helytelen jogosultságkezelés a ContainerStorageModule Custom Resource reconciler komponensben. Egy alacsony jogosultságú, távoli támadó jogosultságot emelhet, és root szintű hozzáférést szerezhet a cluster node-okon.
• CVE-2026-54472 (CVSS pontszám: 9,8) – Beégetett hitelesítő adatok használata a CSM Authorization modulban. Egy távoli, nem hitelesített támadó kriptográfiailag érvényes adminisztrátori tokeneket hamisíthat, és jogosulatlan adminisztrátori hozzáférést szerezhet a CSM Authorization proxyhoz.
• CVE-2026-61421 (CVSS pontszám: 9,8) – Beégetett kriptográfiai kulcs használata a karavi-authorization JWT hitelesítési komponensében. Egy távoli, nem hitelesített támadó, aki ismeri ezt a nyilvánosan elérhető aláíró titkot, hamis hitelesítési tokeneket készíthet, és adminisztrátori jogosultságot szerezhet.
• CVE-2026-67273 (CVSS pontszám: 9,6) – Speciális elemek helytelen semlegesítése template engine használatakor. Egy alacsony jogosultságú, távoli hozzáféréssel rendelkező támadó jogosultságot emelhet, érzékeny adatokhoz férhet hozzá, és jogosulatlan RBAC-módosításokat hajthat végre.

„Ezt a sebezhetőséget kritikusnak tekintjük, mert teljesen megkerüli a csm-authorization biztonsági modellt, és lehetővé teszi a támadó számára, hogy teljes adminisztrátori irányítást szerezzen az öt támogatott Dell storage termékcsaládot lefedő teljes tárolóinfrastruktúra felett” – közölte a Dell a CVE-2026-63688 kapcsán.

A CVE-2026-63692 esetében a Dell arra figyelmeztetett, hogy a sikeres kihasználás lehetővé teszi egy nem hitelesített támadó számára, hogy teljes adminisztrátori irányítást szerezzen az authorization szolgáltatás felett, és hozzáférjen vagy belenyúljon az összes tenant tároló erőforrásaiba.

A PC-gyártó azt is jelezte, hogy egy támadó a CVE-2026-67269 sebezhetőséget kihasználva egyetlen egyedi erőforrás beküldésével az egész Kubernetes cluster összes node-ját kompromittálhatja. A CVE-2026-54472 ezzel szemben arra használható, hogy megkerüljék a CSM Authorization proxy hitelesítési ellenőrzéseit, és jogosulatlanul kezeljék a csatlakoztatott tenantok teljes körére vonatkozó storage hozzáférési szabályokat. A Dell azt javasolja az ügyfeleknek, hogy telepítsék a frissítéseket, és cseréljék le az összes JWT aláíró titkot.

„A sikeres kihasználás klaszterszintű olvasási hozzáférést ad a támadónak a Kubernetes Secrets erőforrásokhoz, és lehetővé teszi számára klaszterszintű RBAC erőforrások létrehozását, gyakorlatilag megkerülve a Kubernetes hozzáférés-vezérlés eredeti modelljét” – írta a Dell a CVE-2026-67273-hoz kiadott biztonsági közleményében.

A hibák a CSM 1.17.0 előtti összes verzióját érintik, a javítást az 1.18.0 kiadás tartalmazza. Nincs kerülőmegoldás vagy enyhítő lépés, a legújabb verzióra történő frissítésen kívül. Mivel az utóbbi években Dell termékek sebezhetőségeit (CVE-2021-21551 és CVE-2026-22769) aktívan kihasználták, létfontosságú a szükséges javítások mielőbbi telepítése a megfelelő védelem érdekében.