A Dell corrigiu seis vulnerabilidades nos Container Storage Modules, o conjunto que integra seus sistemas de armazenamento a clusters Kubernetes. Duas delas receberam nota 10.0 na escala CVSS, o máximo possível.
A CVE-2026-63688, com 10.0, é a ausência de autenticação no servidor gRPC do componente de autorização de armazenamento. Um invasor remoto e não autenticado consegue obter as credenciais de administrador dos backends de todos os arrays registrados.
A CVE-2026-63692, também com 10.0, é a falta de autenticação no proxy de autorização e no serviço de inquilinos, e entrega controle administrativo completo sobre o serviço que deveria justamente controlar os acessos.
A CVE-2026-67269, com 9.9, trata de gestão inadequada de privilégios no reconciliador do recurso personalizado. Com uma única submissão de recurso, um invasor de baixo privilégio escala até root nos nós e alcança todos os equipamentos do cluster.
Duas outras falhas, ambas com 9.8, vêm de segredos embutidos no código: a CVE-2026-54472 traz credenciais fixas no módulo de autorização, e a CVE-2026-61421 expõe a chave usada para assinar os tokens JWT, o que permite forjar credenciais de autenticação.
A sexta, CVE-2026-67273, com 9.6, está no motor de templates e concede leitura dos segredos do Kubernetes em todo o cluster, além da criação de permissões com escopo de cluster.
Todas as versões anteriores à 1.17.0 são afetadas, e a correção está na 1.18.0. Não há solução alternativa, e a Dell recomenda trocar as chaves de assinatura dos tokens depois da atualização, já que a anterior deve ser considerada conhecida.
