Cybersecurite
Dell corrige des failles critiques dans CSM pour Kubernetes
Dell a publié un correctif de sécurité urgent pour ses Container Storage Modules. Plusieurs vulnérabilités critiques permettent à un attaquant distant non authentifié de prendre le contrôle administrateur du stockage et d'obtenir un accès root sur les nœuds Kubernetes.
Par Mila · rédaction IA
Le 2 octobre 2026, l'avis de sécurité DSA-2026-448 publié par le constructeur Dell a révélé plusieurs vulnérabilités critiques affectant les Dell Container Storage Modules, dont deux failles notées 10.0 sur l'échelle CVSS.
Ces failles exposent l'infrastructure de stockage et les grappes de conteneurs à une prise de contrôle totale sans authentification préalable. Les équipes exploitant Dell CSM sur Kubernetes doivent obligatoirement déployer la version 1.18.0 et renouveler leurs clés de signature.
Dell colmate des brèches majeures dans ses modules de stockage
Les Dell Container Storage Modules, conçus par le constructeur Dell, fournissent des capacités avancées de gestion et d'autorisation de stockage pour les environnements de conteneurs Kubernetes connectés aux baies matérielles de la marque. Le bulletin de sécurité officiel DSA-2026-448 répertorie plusieurs vulnérabilités logicielles majeures affectant ces composants. Parmi elles figurent CVE-2026-63688 et CVE-2026-63692, toutes deux créditées du score maximal de 10.0 sur l'échelle CVSS. Un attaquant distant non authentifié peut exploiter un manque d'authentification sur le serveur gRPC ou sur le proxy d'autorisation pour dérober les identifiants d'administration des baies de stockage enregistrées. Pour les responsables d'infrastructure, l'absence de barrière d'entrée signifie que les baies Dell reliées à ces modules deviennent directement manipulables à distance.
Le composant réconciliateur livre un accès root sur les nœuds
L'analyse technique relayée par The Hacker News montre que le périmètre de compromission dépasse la seule couche de stockage physique. La faille CVE-2026-67269, évaluée à un score CVSS de 9.9, touche le réconciliateur de ressources personnalisées au sein de CSM Operator en version 1.12.0. Une simple soumission de ressource personnalisée par un utilisateur disposant de faibles privilèges suffit à provoquer une élévation de privilèges jusqu'au niveau root sur l'ensemble des nœuds du cluster. Parallèlement, la vulnérabilité CVE-2026-67273 permet d'altérer les contrôles d'accès RBAC et de lire tous les secrets Kubernetes de la grappe. Cette combinaison convertit une brèche applicative locale en prise de contrôle intégrale du cluster hôte.
Des identifiants codés en dur aggravent l'exposition opérationnelle
Le problème d'autorisation provient également de mauvaises pratiques cryptographiques internes. La vulnérabilité CVE-2026-54472 repose sur la présence d'identifiants codés en dur dans le module CSM Authorization en version 2.4.0, permettant la forge de jetons administratifs valides. De plus, l'ancienne documentation officielle du composant archivé karavi-authorization exposait publiquement la clé secrète supersecret utilisée pour signer les jetons JWT, répertoriée sous l'identifiant CVE-2026-61421. Toute installation ayant conservé cette configuration par défaut sans changer le secret reste immédiatement exploitable. Pour les administrateurs système, il ne suffit donc pas de mettre à jour les conteneurs : le renouvellement explicite de tous les secrets cryptographiques JWT s'impose pour invalider les accès potentiellement forgés.
La version 1.18.0 constitue l'unique correctif disponible
L'éditeur précise dans son avis technique qu'aucune solution de contournement temporaire ni aucune mesure d'atténuation partielle n'existent pour bloquer ces vecteurs d'attaque. Toutes les versions de Dell CSM antérieures à la branche 1.17.0 sont déclarées vulnérables par le fabricant. La seule procédure d'assainissement consiste à basculer les déploiements vers la version 1.18.0 mise à disposition par Dell et à révoquer l'ensemble des clés de signature en vigueur. Cette obligation requiert un calendrier d'intervention immédiat pour les exploitants de baies PowerMax, PowerFlex ou PowerStore intégrées à Kubernetes, sous peine de laisser l'infrastructure sous la menace d'une exécution de code non autorisée.
- 10.0 Score de gravité CVSS attribué aux vulnérabilités CVE-2026-63688 et CVE-2026-63692 dans Dell CSM Dell 2026-10-02
Cette vulnérabilité est considérée comme critique car elle permet un contournement complet du modèle de sécurité de csm-authorization, autorisant un attaquant à obtenir le contrôle administratif total sur l'infrastructure de stockage couvrant les cinq familles de produits de stockage Dell prises en charge.
Aucune mesure d'atténuation ni aucun contournement partiel ne sont possibles sans appliquer la mise à niveau vers la version 1.18.0 et procéder à la rotation manuelle des clés de signature JWT.
Pour une petite structure gérant son propre stockage conteneurisé sans équipe dédiée, l'obligation consiste à mettre à jour les modules CSM vers la version 1.18.0 et à renouveler immédiatement le secret de signature JWT afin d'éviter une prise de contrôle distante.
Existe-t-il une solution de contournement sans appliquer la mise à jour ?
Non. Dell confirme qu'aucun contournement technique n'est disponible en dehors du passage à la version 1.18.0 et de la rotation des secrets de signature.
Quels systèmes Dell sont exposés à ces failles ?
Toutes les versions de Dell CSM antérieures à 1.17.0 connectées aux cinq familles de stockage Dell, dont PowerStore, PowerFlex et PowerMax, sont concernées.
- Deux failles notées 10.0 sur l'échelle CVSS permettent la prise de contrôle totale sans authentification des baies de stockage Dell.
- Une mauvaise gestion des privilèges dans l'opérateur Kubernetes permet d'obtenir un accès root sur tous les nœuds de la grappe.
- La correction impose la mise à jour immédiate vers Dell CSM 1.18.0 et la rotation de toutes les clés de signature JWT.