Dell Container Storage Modules: Rechteausweitung im CSM-Operator-Reconciler

Zusammenfassung

Der Dell Container Storage Modules (CSM) Operator vor Version 1.18.0 enthält eine Schwachstelle in der Berechtigungsverwaltung des Reconcilers für die ContainerStorageModule Custom Resource. Ein Angreifer mit niedrigen Privilegien und Netzwerkzugriff kann diese ohne Benutzerinteraktion ausnutzen, um Rechte auszuweiten und Root-Zugriff auf Cluster-Nodes zu erlangen. CSM verbindet Dell-Storage-Systeme mit Kubernetes-Clustern, weshalb die Auswirkungen in gemeinsam genutzten oder mandantenfähigen Clustern hoch sind.

Betroffen

• Dell Container Storage Modules (CSM) Operator, Versionen vor 1.18.0
• Hinweis: Eine Drittquelle nennt als untere Grenze 1.17.0; Dells Advisory nennt 1.18.0, was hier verwendet wird.

Behoben in

• Auf Dell Container Storage Modules 1.18.0 oder neuer aktualisieren (gemäss Dell DSA-2026-448).

Umgehung

• Unbekannt. Dell nennt keinen Workaround; das Aktualisieren ist die einzige Behebung.
• Nur zusätzliche Härtung (keine Behebung): RBAC-Berechtigungen in Kubernetes prüfen und den Zugriff auf CSM-Komponenten einschränken.

Ausnutzung

• CISA KEV: nicht gelistet.
• Keine bekannte Ausnutzung in freier Wildbahn für diese CVE gefunden.
• Kein öffentlicher Proof-of-Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Alle CSM-Installationen und deren Versionen in Ihren Kubernetes- oder OpenShift-Clustern ermitteln.
• Auf CSM 1.18.0 oder neuer aktualisieren; damit werden auch die weiteren kritischen Probleme aus DSA-2026-448 behoben.
• Nach dem Update Secrets gemäss Empfehlung von Dell und der Universität Toronto rotieren.
• Prüfen, dass nur vertrauenswürdige Konten ContainerStorageModule Custom Resources erstellen oder ändern können.
• Bei Einsatz von CSM hohe Priorität setzen; die meisten KMU betreiben CSM nicht.

Quellen der Recherche

• Dell DSA-2026-448 www.dell.com
• NVD/CVE data via Vulners vulners.com
• OSV osv.dev
• University of Toronto advisory security.utoronto.ca
• Health-ISAC bulletin www.aha.org
• Field Effect fieldeffect.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:37.