Dell CSM Flaws Enable Unauthenticated Admin Access and Root on Kubernetes Nodes
The Hacker News · 2 oct, 19:02
Dell ha publicado actualizaciones de seguridad para corregir seis vulnerabilidades críticas en Dell Container Storage Modules (CSM) que permiten a atacantes no autenticados obtener acceso administrativo y root en clústeres Kubernetes. Las faltas de autenticación y las credenciales hardcodeadas afectan a todas las versiones anteriores a 1.18.0, con puntuaciones CVSS de hasta 10.0. Dell recomienda actualizar inmediatamente sin opciones de mitigación alternativa.
Las seis vulnerabilidades incluyen faltas de autenticación en servicios críticos (CVE-2026-63688, CVE-2026-63692) que permiten a atacantes remotos obtener credenciales de administrador de almacenamiento y privilegios administrativos completos. CVE-2026-67269 permite escalada de privilegios a nivel root en nodos del clúster mediante un único recurso personalizado. CVE-2026-54472 y CVE-2026-61421 explotan credenciales y claves criptográficas hardcodeadas para forjar tokens administrativos válidos. CVE-2026-67273, una vulnerabilidad de inyección en motor de plantillas, permite acceso a secretos de Kubernetes y manipulación de RBAC.
Dell afirma que CVE-2026-63688 habilita un bypass completo del modelo de seguridad de csm-authorization, concediendo control administrativo total sobre la infraestructura de almacenamiento en las cinco familias de productos Dell soportadas. No existen mitigaciones alternativas; la única solución es actualizar a versión 1.18.0 o posterior y rotar los secretos de firma JWT. Dado que vulnerabilidades previas en productos Dell han sido explotadas activamente, la aplicación inmediata es esencial.
Puntos clave
- Seis vulnerabilidades críticas con CVSS 9.6-10.0 en Dell CSM afectan a versiones anteriores a 1.18.0
- Faltas de autenticación y credenciales hardcodeadas permiten acceso administrativo no autenticado y forja de tokens
- CVE-2026-67269 permite escalada a root en todos los nodos Kubernetes mediante un recurso personalizado
- Sin mitigaciones disponibles; actualización a versión 1.18.0 obligatoria y rotación de secretos JWT recomendada
- Historial de explotación activa de vulnerabilidades Dell (CVE-2021-21551, CVE-2026-22769) hace crítica la aplicación inmediata