Dell Terraform Provider for PowerFlex: Unzureichende Zertifikatsprüfung im SSH-Client

Zusammenfassung

Der Terraform Provider for PowerFlex von Dell verwendet ssh.InsecureIgnoreHostKey() als Standard-Callback für den SSH-Host-Schlüssel und prüft damit die Identität des SSH-Hosts, zu dem er sich verbindet, nicht ordnungsgemäss. Ein Angreifer mit einer Netzwerkposition, von der aus SSH-Verbindungen abgefangen oder umgeleitet werden können, könnte möglicherweise Informationen erlangen und sich unberechtigten Zugriff verschaffen. Für die Ausnutzung ist eine geeignete Netzwerkposition nötig, und die Angriffskomplexität wird als hoch eingestuft.

Betroffen

• Dell Terraform Provider for PowerFlex, Versionen 1.5.0 bis 1.8.0 (gemäss CVE-Beschreibung)
• Widersprüchliche Quellen nennen Versionen unterhalb 1.9.0 oder bis 1.8.0. Unbekannt, ob Versionen vor 1.5.0 betroffen sind. Bis Dell dies klärt, alle Versionen unterhalb 1.9.0 als betroffen behandeln.

Behoben in

• Version 1.9.0 oder neuer (gemäss Sekundärquellen und den Upstream-Release-Notes; die Dell-Advisory wurde nicht verifiziert)

Umgehung

Unbekannt. Dell hat in den geprüften Quellen keine Workaround veröffentlicht. Das explizite Setzen des SSH-Host-Schlüssels bei betroffenen Ressourcen kann das Risiko möglicherweise verringern, ist aber nicht verifiziert und muss vor dem Einsatz getestet werden.

Ausnutzung

• In den geprüften Quellen wurde kein Hinweis auf Ausnutzung in freier Wildbahn gefunden.
• Zum Zeitpunkt der Veröffentlichung wurde kein öffentlicher Proof-of-Concept-Exploit gefunden.

Unsere Empfehlung

• Ermitteln Sie alle Systeme, auf denen terraform-provider-powerflex in einer Version unterhalb 1.9.0 läuft, einschliesslich Arbeitsstationen, CI/CD-Pipelines und Hosts für die Verwaltung des State.
• Aktualisieren Sie auf Version 1.9.0 oder neuer.
• Prüfen Sie die Behandlung des SSH-Host-Schlüssels in Ihrem Terraform-Code und verwenden Sie eine Prüfung auf Basis von known_hosts.
• Beschränken Sie Terraform-Läufe bis zum Abschluss des Updates auf vertrauenswürdige Netzwerke.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-91880 www.cve.org
• Dell DSA-2026-433 Security Update www.dell.com
• terraform-provider-powerflex release v1.9.0 github.com
• VulDB CVE-2026-91880 vuldb.com
• OffSeq Radar CVE-2026-91880 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:22.