Dell Terraform Provider for PowerStore: Offenlegung sensibler Daten in Diagnoseprotokollen

Zusammenfassung

Versionen des Dell Terraform Provider for PowerStore vor 1.3.1 schwärzen sensible Authentifizierungsdaten in Diagnoseprotokollen möglicherweise nicht ausreichend. Ein Angreifer, der auf diese Protokolle zugreifen kann, könnte PowerStore-Zugangsdaten erlangen und damit Speicherkonfigurationen und Daten ändern oder löschen. Der CNA-Eintrag beschreibt den Angriff als remote und ohne Authentifizierung, der Angriffsweg wird in den Quellen jedoch nicht erklärt und muss durch das Dell-Advisory bestätigt werden.

Betroffen

• Dell Terraform Provider for PowerStore, Versionen vor 1.3.1 (CNA-Eintrag: 0 bis vor 1.3.1)
• Das verwandte CVE-2026-91879 betrifft PowerStore-Versionen 1.2.1 bis 1.3.0 im selben Advisory

Behoben in

• Version 1.3.1 (Dell hat die Änderungen im Release nicht explizit mit dieser CVE verknüpft; die Release-Notizen beschreiben passende Anpassungen bei Schwärzung und Debug-Protokollierung)

Umgehung

• Dell nennt neben dem Upgrade keine weitere Massnahme.
• Übergangsmassnahmen (keine Herstellerangabe): Debug-Protokollierung deaktiviert lassen, den Zugriff auf Terraform-Lauf-Protokolle und Workspace-Verzeichnisse einschränken und PowerStore-API-Zugangsdaten rotieren, falls alte Protokolle diese enthalten könnten.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• Kein öffentlicher Proof of Concept gefunden.
• Nicht im CISA-KEV-Katalog gelistet.

Unsere Empfehlung

• Alle im Einsatz befindlichen Terraform-PowerStore-Provider-Versionen identifizieren, einschliesslich CI-Runner und Entwicklerrechner.
• Auf Version 1.3.1 oder neuer aktualisieren, indem die Provider-Version fixiert und terraform init -upgrade ausgeführt wird, und anschliessend mit dem Advisory DSA-2026-433 abgleichen.
• Bestehende Protokolle und Artefakte auf Zugangsdaten prüfen und exponierte PowerStore-Zugangsdaten rotieren.
• Sicherstellen, dass die Debug-Protokollierung in der eigenen Umgebung standardmässig deaktiviert ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Dell DSA-2026-433 Security Update www.dell.com
• CVE.org CVE Record CVE-2026-91891 www.cve.org
• GitHub release v1.3.1 github.com
• GitHub repository terraform-provider-powerstore github.com
• VulDB entry 435918 vuldb.com
• OffSeq Radar CVE-2026-91891 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:32.