Dell Terraform Provider: Sensitive Informationen in Logdatei geschrieben

Zusammenfassung

Die Dell Terraform Provider für ObjectScale und PowerStore schreiben im Client-Initialisierungsteil sensitive Informationen in Logdateien. Gemäss CVE-Beschreibung könnte ein Angreifer mit niedrigen Berechtigungen und Remotezugriff diese Daten erlangen, was zu einer Offenlegung von Informationen und zu unautorisiertem Zugriff führen kann. Das Risiko ist vor allem dort relevant, wo Terraform-Logausgaben oder Logdateien gelesen werden können, etwa auf gemeinsam genutzten CI-Runnern oder Admin-Arbeitsstationen. Der CVSS-Vektor und die Bedingung des Remotezugriffs sind noch nicht gegen das Dell-Advisory verifiziert.

Betroffen

• ObjectScale: Versionen vor 1.1.1 (gemäss CVE-Beschreibung)
• PowerStore: Versionen 1.2.1 bis 1.3.0 (gemäss CVE-Beschreibung); der offizielle CVE-Eintrag nennt Versionen vor 1.3.1

Behoben in

• ObjectScale: 1.1.1 oder neuer
• PowerStore: 1.3.1 oder neuer gemäss offiziellem CVE-Eintrag; noch nicht auf der Dell-Advisory-Seite bestätigt. In den verifizierten Quellen unbekannt.

Umgehung

• Dell-spezifische Workaround-Massnahme nicht bekannt. Die Dell-Advisory DSA-2026-433 auf Massnahmen prüfen.
• Lesezugriff auf Terraform-Logdateien einschränken und prüfen, wo Logs geschrieben werden (zum Beispiel über TF_LOG_PATH).

Ausnutzung

Keine Hinweise auf eine Ausnutzung in freier Wildbahn und zum Zeitpunkt der Erfassung kein öffentlicher Proof of Concept gefunden. Die Abdeckung ist minimal, da die CVE kürzlich veröffentlicht wurde.

Unsere Empfehlung

• Alle Terraform-Konfigurationen und Lock-Dateien inventarisieren, die die Dell PowerStore- oder ObjectScale-Provider verwenden, und die eingesetzten Versionen erfassen.
• Auf die fixen Versionen aktualisieren und die genaue Behebung auf der Dell-Advisory DSA-2026-433 bestätigen.
• Zugriff auf Terraform-Logs einschränken und dateibasiertes Logging deaktivieren, wo es nicht benötigt wird.
• Speicher-Zugangsdaten rotieren, die in betroffenen Terraform-Läufen verwendet wurden, falls Logs offengelegt worden sein könnten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Dell DSA-2026-433: Security Update for Dell Terraform Provider for Dell Storage www.dell.com
• CVE-2026-91883 record (threatint) cve.threatint.com
• CVE-2026-91872 record (threatint), comparable Dell log-leak CVE cve.threatint.com
• Microsoft Terraform provider advisory GHSA-7w3w-pjm5-m36c (comparable log leak, general practice) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:21.