Dell опубликовала 1 октября бюллетень безопасности для модулей хранения данных Container Storage Modules (CSM). Ошибки в компоненте авторизации могут дать удалённому злоумышленнику административный доступ к хранилищам; для одной из уязвимостей Dell также советует немедленно сменить секретные ключи подписи JWT.
Максимальные 10 баллов по шкале CVSS получили CVE-2026-63688 и CVE-2026-63692. Обе ошибки связаны с отсутствием проверки подлинности для важных функций CSM Authorization версии 2.4.0. Согласно бюллетеню Dell, в обоих случаях атаку можно провести удалённо, без учётной записи и действий со стороны пользователя. Компания описывает возможные последствия, но не сообщает об успешных атаках.
CVE-2026-63688 находится в gRPC-сервере csm-authorization-storage. Через неё посторонний может получить учётные данные администраторов всех зарегистрированных массивов хранения. Dell предупреждает, что это позволяет полностью обойти модель безопасности CSM Authorization и получить административный контроль над инфраструктурой хранения пяти поддерживаемых семейств её продуктов.
CVE-2026-63692 затрагивает прокси авторизации и сервис арендаторов. Эксплуатация ошибки позволяет обойти проверку подлинности и получить права администратора сервиса авторизации. Под угрозой оказываются ресурсы хранения всех арендаторов: злоумышленник может получить к ним доступ и изменять их.
В том же бюллетене Dell перечисляет другие критические уязвимости CSM. Например, CVE-2026-67269 в CSM Operator версии 1.12.0 позволяет удалённому атакующему с низкими привилегиями повысить их до уровня root на узлах кластера Kubernetes. Для CVE-2026-67273 той же версии компания указывает возможность чтения секретов Kubernetes во всём кластере и изменения правил доступа RBAC. Обе ошибки требуют от атакующего некоторого исходного уровня прав.
Ещё две проблемы касаются ключей для токенов. CVE-2026-54472 в CSM Authorization версии 2.4.0 связана с жёстко заданными учётными данными: удалённый атакующий без учётной записи может подделать административный токен и получить доступ к прокси авторизации. CVE-2026-61421 относится к архивному компоненту karavi-authorization, который больше не поддерживается. В документации к его настройке был опубликован пример секретного ключа подписи JWT; организации, использовавшие его без последующей замены, могут оставаться уязвимыми к подделке токенов.
В таблице исправлений Dell указывает Container Storage Modules версии 1.18.0 и новее. Компания отдельно предупреждает, что перечень затронутых поддерживаемых версий в бюллетене может быть неполным и впоследствии измениться. Временных способов защиты вместо обновления Dell не приводит. Для CVE-2026-54472 одной установки новой версии недостаточно: Dell рекомендует немедленно сменить секретные ключи подписи JWT.
