事件概述
Dell 于 10 月 1 日发布安全公告 DSA-2026-448，修复 Container Storage Modules（CSM，容器存储模块）中的 6 个严重漏洞，评分区间 9.6 至 10.0，另有 7 个中低危问题。受影响版本为 1.17.0 之前的所有版本，修复版本为 CSM 1.18.0 及以后。
CSM 是 Dell 维护的 Kubernetes 存储组件集合，为 PowerStore、PowerScale、PowerFlex 等存储阵列提供 CSI 驱动与授权代理，是应用与存储之间的访问控制层。
漏洞清单
- CVE-2026-63688（CVSS 10.0）：csm-authorization-storage 的 gRPC 服务缺失认证，未认证远程攻击者可获取所有已注册存储阵列的管理员凭证。
- CVE-2026-63692（CVSS 10.0）：授权代理与租户服务缺失认证，未认证网络攻击者可绕过认证获得完全管理权限。
- CVE-2026-67269（9.9）：ContainerStorageModule 自定义资源协调器权限管理不当，低权限用户可提权至集群节点 root。
- CVE-2026-54472（9.8）：授权模块使用硬编码凭证，攻击者可伪造密码学有效的管理员令牌。
- CVE-2026-61421（9.8）：硬编码加密密钥；已归档的 karavi-authorization 组件使用公开的签名密钥。
- CVE-2026-67273（9.6）：模板引擎缺陷，低权限用户可读取整个集群的 Kubernetes Secrets 并创建集群级 RBAC 资源。
技术细节与攻击路径
6 个漏洞中有 4 个集中在”认证缺失或密钥固定”上：前两个是完全没有认证的对外服务，后两个是把认证建立在预先固定的密钥与凭证之上。攻击链在逻辑上可串接为：
未认证访问 gRPC/代理服务
-> 取得存储后端管理员凭证或伪造管理员 JWT
-> 提权至集群节点 root / 读取全集群 Secrets
-> 横向接触存储阵列与其他租户资源CSM Authorization 的设计初衷是让租户在不必拿到存储管理员凭证的前提下按角色消费存储资源，本次披露恰好击穿了这个信任边界。
影响评估
两个 CVSS 10.0 漏洞均为网络可达、复杂度低、无需权限与交互、作用域变更，机密性、完整性与可用性影响均为高。一旦被利用，后果覆盖存储凭证外泄、授权服务接管、集群节点 root 与全租户 Secrets 泄露。
Dell 在公告中未标记这些漏洞已遭在野利用。截至 10 月 4 日，NVD 尚未收录上述 6 个编号的独立评估，CISA KEV 目录（10 月 2 日版）也未列入。需注意”未提及”不等于”未被利用”，仍应按高危优先级处置。
修复建议
- 将 CSM 升级至 1.18.0 或更高版本。公告将受影响范围写为 1.17.0 之前，但 1.17.x 的状态未明确说明，建议直接升到 1.18.0 以上，不要停在 1.17.x。
- 按 Dell 建议立即轮换 JWT 签名密钥。已公开或被硬编码的密钥在升级后依然有效，仅打补丁不解决问题。
- 评估是否需要同步更换存储阵列的管理员凭证（CVE-2026-63688 涉及后端管理员凭证）。
- Dell 未提供任何临时缓解措施。在完成升级前，应通过网络策略限制谁能访问授权代理与 gRPC 服务端口。
- 复核 Kubernetes 网络策略与 RBAC：默认情况下 Pod 之间可互相通信，应确认哪些工作负载能够触达存储管理服务；同时审计是否存在无法解释的管理操作。