LONDON (IT BOLTWISE) – Dell hat Sicherheitsupdates für Dell Container Storage Modules veröffentlicht, weil mehrere Lücken eine nicht authentifizierte Übernahme von Admin-Komponenten ermöglichen. Besonders kritisch sind Fehler in der csm-authorization-storage gRPC-Implementierung und in Auth- und Tenant-Komponenten, die Schutzmechanismen umgehen. In Kombination mit einer Schwachstelle im Custom-Resource-Reconciler kann ein Angreifer zudem Root-Zugriff auf Kubernetes-Cluster-Nodes erreichen. Betroffen sind alle CSM-Versionen vor 1.17.0, gepatcht wird mit 1.18.0 und anschließender Rotation von JWT-Signing-Secrets.
Dell hat für Dell Container Storage Modules (CSM) Sicherheitsupdates bereitgestellt, nachdem mehrere hochriskante Schwachstellen im Authentifizierungs- und Berechtigungsmodell des Storage-Stacks entdeckt wurden. Laut Advisory betrifft das Problem alle CSM-Versionen vor 1.17.0; behoben ist es in 1.18.0. Besonders brisant: Mehrere Fehlerpunkte zielen auf „missing authentication“ in Komponenten, die für die Autorisierung von Storage-Zugriffen zuständig sind. Damit reicht im schlimmsten Fall bereits der Zugriff auf bestimmte Netzwerk- oder gRPC-Schnittstellen, um Admin-Rechte in der Storage-Infrastruktur zu erlangen.
Technisch lassen sich die gemeldeten Lücken grob in Authentifizierungsausfälle und Privilegeskalation durch fehlerhafte Rechteverwaltung einordnen. Für CVE-2026-63688 (CVSS 10.0) nennt Dell ein fehlendes Authentifizierungs-Handling für eine kritische Funktion im „csm-authorization-storage gRPC server“: Ein nicht authentifizierter Remote-Angreifer könne dadurch unautorisierte Admin-Zugangsdaten zu Storage-Backend-Administratoren für alle registrierten Storage-Arrays erhalten. Sehr ähnlich ist die Logik hinter CVE-2026-63692 (CVSS 10.0): Auch hier geht es um „missing authentication“ in „authorization proxy“ sowie „tenant service“, wodurch Authentifizierungskontrollen umgangen und administrative Privilegien erreicht werden können. Diese beiden Punkte sind in der Praxis deshalb gefährlich, weil sie zentrale Eintrittstore zu Autorisierungsentscheidungen öffnen und nicht nur einzelne Requests kompromittieren.
Während die ersten Lücken den Einstieg in Admin-Funktionen erleichtern, geht CVE-2026-67269 (CVSS 9.9) den Schritt weiter und beschreibt eine Schwäche in der Privilegverwaltung des „ContainerStorageModule Custom Resource reconciler“. Dell ordnet an, dass ein Angreifer mit geringer Berechtigung durch die Einreichung einer Custom Resource Cluster-Nodes kompromittieren kann. Die Reichweite ist hier besonders klar beschrieben: „über eine einzelne Custom-Resource submission“ sei es möglich, alle Nodes in einem Kubernetes-Cluster zu gefährden. Damit wird aus einem potenziellen Auth-Problem schnell eine domänenübergreifende Eskalation, bei der der Kubernetes-Controller-Flow selbst als Angriffsfläche dient.
Weitere Meldungen drehen sich um harte Geheimnisse und damit um das Thema „Token-Fälschung“: CVE-2026-54472 (CVSS 9.8) nennt eine Verwendung hartkodierter Credentials im CSM Authorization-Modul. Dell zufolge kann ein nicht authentifizierter Angreifer diese Schwachstelle nutzen, um kryptografisch gültige administrative Tokens zu fälschen und dadurch unautorisierte Admin-Zugriffe auf den CSM Authorization Proxy zu erhalten. Ergänzend kommt CVE-2026-61421 (CVSS 9.8) hinzu, das eine harte kryptografische Schlüsselverwendung in der JWT-Authentifizierungskomponente „karavi-authorization“ betrifft; Dell verweist darauf, dass ein Angreifer bei Kenntnis eines öffentlich verfügbaren Signing Secret die Tokens ebenso fälschen kann. Zusammen mit dem Hinweis, dass Kunden JWT-Signing-Secrets rotieren sollen, zeigt sich: Selbst ein korrektes Rollenmodell in Kubernetes ist wirkungslos, wenn das System Tokens akzeptiert, die ohne echte Identität konstruiert werden können.
Den Schlusspunkt setzt CVE-2026-67273 (CVSS 9.6), das Dell als kritischen Fehler im Neutralisierungsverhalten von speziellen Elementen eines Template-Engines einordnet. Der entscheidende Effekt: Ein Angreifer mit geringer Berechtigung und Remote-Zugriff könne Privilegien eskalieren, sensible Informationen erreichen und zudem unautorisierte RBAC-Manipulation ausführen. Dell macht die Tragweite für CVE-2026-67273 besonders konkret: Erfolgreiche Ausnutzung ermögliche clusterweiten Read-Zugriff auf Kubernetes Secrets und die Fähigkeit, cluster-scoped RBAC-Ressourcen zu erstellen. Damit wird ein ganzer Teil des „Defense-in-Depth“-Ansatzes ausgehebelt, weil die Angreifer nicht nur Daten lesen, sondern auch die Autorisierung selbst umschreiben können.
Für Betreiber ergibt sich daraus eine klare Priorisierung: Erstens auf 1.18.0 aktualisieren, zweitens jede betroffene Rotation von JWT-Signing-Secrets durchführen und drittens davon ausgehen, dass es für diese Lücken „keine Workarounds oder Mitigations“ gibt, außer dem Update. Dell empfiehlt genau diese Schritte, und der Advisory-Hinweis geht zudem auf die Art der Risiken über bekannte Kategorien hinaus: Ein Cluster kann durch die Kombination von Auth-Bypass, Token-Fälschung und Controller-/Reconciler-Eskalation so stark kompromittiert werden, dass interne Kontrollschichten wie Kubernetes Access Controls nicht mehr zuverlässig schützen. Das passt auch zu der Beobachtung aus dem Sicherheitskontext der letzten Jahre: Dell-Verletzlichkeiten waren bereits mehrfach Gegenstand aktiver Ausnutzung, wodurch sich Patch-Management bei Storage-Integrationen von „Routine“ zu „Sicherheitskritikalität“ verschiebt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Dell CSM: Kritische Lücken ermöglichen Admin-Bypass und Root auf Kubernetes-Node" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Dell CSM: Kritische Lücken ermöglichen Admin-Bypass und Root auf Kubernetes-Node" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Dell CSM: Kritische Lücken ermöglichen Admin-Bypass und Root auf Kubernetes-Node« bei Google Deutschland suchen, bei Bing oder Google News!