Dell Container Storage Modules: Fehlende Authentifizierung im gRPC-Server für Autorisierungsspeicher
Zusammenfassung
Dell Container Storage Modules (CSM) vor Version 1.18.0 enthalten eine Schwachstelle durch fehlende Authentifizierung im gRPC-Server csm-authorization-storage. Ein nicht authentifizierter Angreifer aus dem Netzwerk, der diesen Dienst erreichen kann, kann Administratorzugangsdaten der Storage-Backends für alle registrierten Storage-Arrays abrufen. CSM verbindet Dell-Storage-Arrays mit Kubernetes- und OpenShift-Clustern.
Betroffen
- Dell Container Storage Modules (CSM) Versionen vor 1.18.0
- Komponente: gRPC-Server csm-authorization-storage
- Hinweis: Einige Sekundärquellen nennen eine Grenze bei 1.17.0; massgebend ist das Dell-Advisory.
Behoben in
- Auf Container Storage Modules 1.18.0 oder neuer aktualisieren (Dell DSA-2026-448).
Umgehung
- Unbekannt. Dell dokumentiert keinen Workaround; das Aktualisieren ist die einzige Behebung.
Ausnutzung
- CISA SSVC: Ausnutzung none, automatisierbar yes.
- Zum Zeitpunkt der Erfassung ist keine Ausnutzung in freier Wildbahn bekannt.
- Kein öffentlicher Proof-of-Concept gefunden.
Unsere Empfehlung
- Alle CSM- und CSM-Authorization-Installationen mit ihren Versionen erfassen.
- Auf CSM 1.18.0 oder neuer aktualisieren; das gesamte Advisory DSA-2026-448 patchen, nicht nur diese CVE.
- Netzwerkzugriff auf den gRPC-Endpunkt csm-authorization-storage bis zum Patch einschränken.
- JWT-Signaturgeheimnisse und Administratorzugangsdaten der Storage-Arrays erneuern, besonders wenn der Dienst aus unsicheren Netzen erreichbar war.
- Autorisierungsprotokolle auf unerklärliche administrative Aktivitäten prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Dell DSA-2026-448 Security Update www.dell.com
- OSV record CVE-2026-63688 osv.dev
- NVD record via Vulners vulners.com
- OpenCVE CVE-2026-63688 app.opencve.io
- University of Toronto security advisory security.utoronto.ca
- FieldEffect analysis fieldeffect.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:37.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.