Dell устранила CVSS 10.0 уязвимости CSM с риском захвата Kubernetes
Dell выпустила Container Storage Modules 1.18.0 для устранения шести критических уязвимостей в CSM, включая две с оценкой CVSS 10.0. Проблемы затрагивают все версии до 1.17.0 и могут дать неаутентифицированному атакующему административный доступ к хранилищам, а в отдельных сценариях — root-доступ к узлам Kubernetes.
Две уязвимости с максимальной оценкой
CVE-2026-63688 связана с отсутствием аутентификации для критической функции в gRPC-сервере csm-authorization-storage. Удалённый атакующий без учётной записи может получить несанкционированный доступ к административным учётным данным бэкендов хранения для всех зарегистрированных массивов.
Dell отмечает, что эта ошибка фактически обходит модель безопасности csm-authorization и открывает полный административный контроль над инфраструктурой хранения во всех пяти поддерживаемых семействах продуктов Dell.
Вторая уязвимость с CVSS 10.0, CVE-2026-63692, затрагивает authorization proxy и tenant service. Она позволяет сетевому атакующему без аутентификации обойти контроль доступа, получить привилегии администратора сервиса авторизации и работать с ресурсами хранения всех арендаторов.
Подделка токенов и доступ к узлам
CVE-2026-54472 с оценкой 9.8 вызвана жёстко заданными учётными данными в модуле CSM Authorization. Её эксплуатация позволяет сформировать криптографически корректные административные токены и получить доступ к proxy без разрешения.
Схожий риск несёт CVE-2026-61421 с CVSS 9.8: в JWT-компоненте karavi-authorization использовался жёстко заданный криптографический ключ. Зная публично доступный секрет подписи, удалённый неаутентифицированный атакующий может подделать токены и получить административные права.
Ошибка управления привилегиями CVE-2026-67269 получила CVSS 9.9. Низкопривилегированный удалённый атакующий способен повысить права через reconciler пользовательского ресурса ContainerStorageModule и получить root-доступ к узлам кластера. Dell указывает, что одна отправка custom resource может привести к компрометации всех узлов Kubernetes.
Что требуется сделать администраторам
Ещё одна проблема, CVE-2026-67273 с CVSS 9.6, связана с недостаточной нейтрализацией специальных элементов в шаблонном движке. Для атакующего с низкими правами и удалённым доступом она открывает повышение привилегий, доступ к чувствительным данным и несанкционированное изменение RBAC. По оценке Dell, успешная атака даёт чтение Kubernetes Secrets в масштабе кластера и возможность создавать кластерные ресурсы RBAC.
Риск для контейнерной инфраструктуры хорошо иллюстрирует Эксплойт CVE-2026-80521 выводит контейнеры Ubuntu к root хоста, где эксплуатация ошибки также выводит изолированную среду к root-доступу на хосте.
Dell рекомендует установить CSM 1.18.0 и сменить все секреты подписи JWT. Производитель не сообщил о временных обходных мерах: организациям следует инвентаризировать развертывания CSM, проверить доступность компонентов авторизации из сети и выполнить обновление как приоритетную задачу.