Dell ha lanzado la actualización de seguridad DSA-2026-448 para corregir múltiples vulnerabilidades críticas en sus Container Storage Modules (CSM). Estos fallos podrían permitir que atacantes remotos no autenticados obtengan control administrativo total de los entornos de almacenamiento afectados. Dell recomienda a las organizaciones actualizar inmediatamente, ya que no existen soluciones temporales ni mitigaciones disponibles.

Dell ha lanzado la actualización de seguridad DSA-2026-448 para solucionar múltiples vulnerabilidades críticas en sus Módulos de Almacenamiento de Contenedores (CSM), incluyendo fallos que podrían permitir que atacantes remotos no autenticados tomen el control administrativo total de los entornos de almacenamiento afectados.

Si tú utilizas despliegues de Dell CSM vulnerables, deberías actualizar inmediatamente, ya que Dell ha declarado que no hay soluciones temporales ni mitigaciones disponibles.

El aviso afecta a las versiones de Dell Container Storage Modules anteriores a la 1.17.0, con correcciones disponibles en la 1.18.0 y posteriores, cubriendo la Autorización de CSM, el Operador de CSM, los componentes CSI y librerías de Go de terceros.

Las vulnerabilidades más graves son CVE-2026-63688 y CVE-2026-63692, ambas con una puntuación CVSS de 10.0. La CVE-2026-63688 es un fallo de falta de autenticación en el servidor gRPC csm-authorization-storage en CSM Authorization versión 2.4.0.

Un atacante no autenticado podría explotar este fallo para acceder a las credenciales de administrador de todas las matrices de almacenamiento registradas, obteniendo potencialmente el control sobre las cinco familias de productos de almacenamiento compatibles de Dell.

El acceso a las credenciales del administrador del backend podría permitir que un atacante cambie las configuraciones de almacenamiento, acceda a datos sensibles, interrumpa las cargas de trabajo o cree rutas de acceso persistentes dentro del entorno.

Fallos Críticos en el Almacenamiento de Contenedores de Dell

La CVE-2026-63692 también afecta a la versión 2.4.0 de CSM Authorization. La vulnerabilidad existe en el proxy de autorización y el servicio de inquilinos, donde se puede acceder a funciones críticas sin la autenticación adecuada.

Una explotación exitosa podría permitir que un atacante basado en la red omita los controles de autenticación y eleve sus privilegios al nivel administrativo. Esto podría exponer y permitir la manipulación de los recursos de almacenamiento en todos los inquilinos.

Otro problema crítico, CVE-2026-54472, es una vulnerabilidad de credenciales hard-coded (codificadas rígidamente) en CSM Authorization. El fallo podría permitir que un atacante remoto no autenticado falsifique tokens JSON Web (JWT) administrativos criptográficamente válidos y obtenga acceso de administrador al proxy de CSM Authorization.

Dell calificó el fallo con un CVSS de 9.8 y aconsejó rotar los secretos de firma de JWT después de actualizar; el aviso también aborda la CVE-2026-61421 en el componente archivado karavi-authorization.

Dell mencionó que la documentación antigua utilizaba el secreto de firma JWT “supersecret” junto con un ejemplo de token real. Si tú desplegaste karavi-authorization usando este valor documentado y nunca cambiaste el secreto de firma, podrías seguir expuesto a ataques de tokens falsificados y a la toma de control administrativa.

La CVE-2026-67269 en Dell CSM Operator 1.12.0 podría permitir que usuarios remotos con bajos privilegios obtengan acceso root a los nodos de Kubernetes a través de un recurso de ContainerStorageModule malicioso; Dell le asignó una puntuación de 9.9 debido al potencial compromiso de todo el clúster.

La CVE-2026-67273, calificada con 9.6, podría permitir que un atacante con bajos privilegios acceda a los Secrets de Kubernetes y cree recursos RBAC con alcance de clúster mediante la inyección en el motor de plantillas. Dicho acceso podría omitir efectivamente los permisos previstos de Kubernetes y permitir un control amplio de los recursos del clúster.

Otros fallos incluyen la validación incorrecta de certificados, falta de autorización en el controlador CSI de Dell para PowerMax, divulgación de información sensible a través de los logs y fallos que afectan a los controladores CSI para PowerFlex, PowerMax y PowerStore.

La actualización también soluciona vulnerabilidades en componentes de Go de terceros, incluyendo golang.org/x/crypto, golang.org/x/net, golang-jwt/jwt y protobuf.

Dell recomienda actualizar todos los despliegues afectados de Container Storage Modules a la versión 1.18.0 o posterior lo antes posible. Tus equipos de seguridad también deberían rotar los secretos JWT, revisar los logs de acceso de CSM Authorization, auditar el uso de tokens administrativos y comprobar las políticas RBAC de Kubernetes y los recursos personalizados en busca de cambios no autorizados.