JH.

Dell CSM : deux CVE à 10.0 entre vos baies et vos clusters Kubernetes

Julien HOKINI · · 4 min read
Dell CSM : deux CVE à 10.0 entre vos baies et vos clusters Kubernetes

Dell a publié début octobre deux avis de sécurité qui couvrent 18 CVE sur Container Storage Modules et Dell System Update. Deux de ces failles, notées 10.0, n'exigent aucune authentification et exposent les identifiants d'administration de vos baies.

Dell Container Storage Modules (CSM) relie des clusters Kubernetes à PowerStore, PowerScale, PowerFlex, PowerMax et Unity XT. Le 1er octobre 2026, Dell a publié l'avis DSA-2026-448 sur ce produit (révisé les 5 et 6 octobre) et l'avis DSA-2026-324 sur Dell System Update (DSU). Les deux avis totalisent 18 CVE propres à Dell : 13 pour CSM, 5 pour DSU. L'avis CSM ajoute 24 CVE de bibliothèques tierces (golang.org/x/crypto, golang.org/x/net, golang-jwt, protobuf), sans score ni description dans la page. Dell ne signale aucune exploitation active et ne propose aucun contournement. La réponse tient en une mise à jour : CSM 1.18.0 ou ultérieure, DSU 2.3.0.0 ou ultérieure.

Les deux CVE à 10.0

CVE-2026-63688 touche le serveur gRPC csm-authorization-storage. Ses fonctions critiques ne demandent aucune authentification, et un attaquant distant récupère les identifiants d'administration de chaque baie enregistrée. Le vecteur CVSS (AV:N/AC:L/PR:N/UI:N, scope modifié) décrit un accès réseau sans privilège et sans interaction. Dell cite les cinq familles de stockage prises en charge par CSM.

CVE-2026-63692 vise le proxy d'autorisation et le service tenant, avec le même défaut : l'attaquant prend le contrôle administratif du service d'autorisation. Field Effect précise que cela inclut les ressources des autres locataires, ce qui donne à cette CVE sa portée sur un parc multi-tenant.

Les noms de composants (csm-authorization-storage, proxy, tenant service) pointent vers le module Authorization de CSM. Si vous ne l'avez pas déployé, le périmètre de ces deux CVE se réduit, à confirmer dans l'avis pour votre version. Les autres CVE de l'avis s'appliquent quand même.

Les failles notées 9.x et en dessous

CVE-2026-67269 (9.9) vient de la gestion des privilèges dans le réconciliateur de la ressource ContainerStorageModule, côté opérateur. Un attaquant à faibles privilèges obtient un accès root sur les nœuds du cluster.

CVE-2026-54472 et CVE-2026-61421 (9.8 chacune) relèvent du même défaut, des identifiants codés en dur (CWE-798). Les sources divergent sur leur effet. CSO Online rattache la première à la forge de jetons administrateur pour le proxy d'autorisation, et The Hacker News décrit la seconde comme une clé cryptographique codée en dur dans le composant JWT. Les fiches CVE de Dell parlent de csm-docs et de divulgation d'information pour la première, de CSM Authorization et d'élévation de privilèges pour la seconde. Un secret codé en dur existe dans chaque déploiement de la version concernée, ce qui rend la rotation après mise à jour utile.

CVE-2026-67273 (9.6) est une neutralisation incorrecte d'éléments dans un moteur de templates. Selon BleepingComputer et The Hacker News, un attaquant à faibles privilèges contourne les contrôles d'accès Kubernetes, lit les Secrets à l'échelle du cluster et crée des ressources RBAC à portée cluster.

CVE-2026-67270 (8.2) se distingue. Le composant proxy-server valide mal les certificats, et un attaquant placé sur le réseau adjacent peut exposer les identifiants d'administration des baies. C'est le seul point de l'avis qui évoque une interception réseau de ces identifiants. Dell ne dit pas qu'ils circulaient en clair.

CVECVSSComposantEffet décrit par Dell
CVE-2026-6368810.0csm-authorization-storage (gRPC)Identifiants admin des baies, sans authentification
CVE-2026-6369210.0Proxy d'autorisation, service tenantContrôle administratif du service d'autorisation
CVE-2026-672699.9Réconciliateur ContainerStorageModuleAccès root sur les nœuds
CVE-2026-544729.8csm-docsIdentifiants codés en dur, divulgation d'information
CVE-2026-614219.8CSM AuthorizationIdentifiants codés en dur, élévation de privilèges
CVE-2026-672739.6Moteur de templatesÉlévation de privilèges, accès aux Secrets
CVE-2026-672708.2proxy-serverExposition des identifiants admin (réseau adjacent)

Deux CVE de moindre gravité (CVE-2026-61411, 7.7, et CVE-2026-63689, 6.5) écrivent des informations sensibles dans les journaux. Vérifiez qui lit ces journaux et où ils sont envoyés.

DSU, côté serveurs

DSU sert à mettre à jour les paquets sur les serveurs PowerEdge. Les cinq CVE de l'avis sont corrigées en 2.3.0.0. La plus grave, CVE-2026-86360 (9.6), est une traversée de chemin exploitable à distance sans authentification, avec une interaction utilisateur requise (AV:N/PR:N/UI:R). Dell la décrit comme une exécution de code avec les privilèges root et une compromission de l'application et du système sous-jacent. Les quatre autres vont de 7.3 à 8.2 : élévation de privilèges locale (CVE-2026-86361 et CVE-2026-86362), exécution de code par traversée de chemin locale (CVE-2026-71168) et validation de certificat (CVE-2026-63697).

Bob Wilson, d'Info-Tech Research Group, rappelle dans CSO Online que DSU tourne aussi sur des hôtes Azure Stack HCI, ESXi, Linux et Windows. Si vous gérez des hôtes Hyper-V ou vSphere, l'inventaire des versions DSU s'ajoute à celui de CSM.

Ce que je ferais cette semaine

Je commencerais par l'inventaire. Sur un cluster, helm list -A liste les déploiements installés avec Helm, et kubectl get containerstoragemodules -A liste ceux de l'opérateur. L'avis Dell classe comme concernées toutes les versions antérieures à 1.18.0. CSO Online et The Hacker News écrivent 1.17.0, et je retiens la page de Dell.

La mise à jour passe en premier, puisque Dell n'indique aucun contournement. Je ferais ensuite tourner les identifiants d'administration des baies enregistrées dans Authorization, les clés de signature JWT et les jetons émis. Cette recommandation vient des experts cités par CSO Online et The Hacker News, et l'avis Dell se limite à la mise à jour. Je restreindrais aussi l'accès réseau aux services CSM : Field Effect indique que l'exploitation demande un accès réseau à ces services.

Un des experts cités par CSO Online s'attend à voir un code d'exploitation public sous quelques jours. Dell ne signale aucune exploitation pour l'instant, mais cette fenêtre ne justifie pas d'attendre la prochaine maintenance trimestrielle.

Le chemin entre un cluster Kubernetes et une baie passe par un proxy d'autorisation, et cet avis décrit ce qui arrive quand ce proxy est vulnérable. Chez chaque client, la première question reste la même : où tourne-t-il, et dans quelle version ?

Sources