戴尔已发布安全更新DSA-2026-448，修复容器存储模块（CSM）中的多个高危漏洞。未授权远程攻击者可利用这类漏洞，完全掌控受影响存储环境的最高管理权限。
使用存在漏洞的戴尔CSM部署的企业需立即升级。戴尔明确表示，目前没有针对这些漏洞的临时规避方案或缓解措施。
本次公告影响1.17.0之前的所有CSM版本，官方在1.18.0及后续版本中提供了完整修复。修复范围覆盖CSM Authorization、CSM Operator、CSI组件以及第三方Go库。
Part01
两个漏洞CVSS满分
本次披露的漏洞中，CVE-2026-63688和CVE-2026-63692危害最严重，CVSS评分均为满分10.0。CVE-2026-63688是身份验证缺失漏洞，存在于2.4.0版本CSM Authorization的csm-authorization-storage gRPC服务端中。
未授权攻击者可利用该漏洞获取所有已注册存储阵列的管理员凭证，进而控制戴尔支持的五大存储产品系列。
拿到后端管理员凭证后，攻击者可篡改存储配置，访问阵列中存储的敏感数据。
攻击者还能中断正常运行的业务负载，影响业务连续性。
此外，攻击者可在环境中创建持久化访问路径，长期维持控制权限。
CVE-2026-63692同样影响2.4.0版本的CSM Authorization。该漏洞存在于授权代理与租户服务中，核心功能接口未设置有效的身份验证机制。
网络攻击者可利用该漏洞绕过身份验证控制，将权限提升至管理员级别。获得管理员权限后，攻击者可访问并篡改所有租户的存储资源。
Part02
多类高危漏洞叠加
可致权限提升与集群失陷
另一个高危漏洞CVE-2026-54472为CSM Authorization中的硬编码凭证漏洞，CVSS评分为9.8。未授权远程攻击者可利用该漏洞伪造符合密码学校验规则的管理员JWT，获取CSM Authorization代理的管理员访问权限。
戴尔提醒用户，完成版本更新后需轮换JWT签名密钥。本次更新还修复了已归档的karavi-authorization组件中的CVE-2026-61421。
旧版文档中曾将JWT签名密钥示例写为“supersecret”，并附带了真实令牌示例。如果企业部署karavi-authorization时使用了该文档中的默认值，且从未修改签名密钥，攻击者仍可通过伪造令牌接管其管理员权限。
CVE-2026-67269存在于1.12.0版本的CSM Operator中，CVSS评分为9.9。低权限远程用户可通过构造恶意ContainerStorageModule资源获取Kubernetes节点root权限，最终造成整个集群失陷。
CVE-2026-67273的CVSS评分为9.6。低权限攻击者可通过模板引擎注入访问Kubernetes Secrets，创建集群范围的RBAC资源。
这类访问可直接绕过Kubernetes原有的权限控制，让攻击者获得集群资源的广泛控制权。
本次修复的漏洞还包括证书验证不当、戴尔PowerMax CSI驱动授权缺失、日志敏感信息泄露，以及影响PowerFlex、PowerMax、PowerStore CSI驱动的多个安全问题。
本次更新还修复了多个第三方Go组件的漏洞，涉及golang.org/x/crypto、golang.org/x/net、golang-jwt/jwt以及protobuf。
Part03
官方建议尽快升级
戴尔建议所有受影响的CSM部署方，尽快将实例升级至1.18.0或更高版本。
升级完成后，安全团队需及时轮换JWT签名密钥，审查CSM Authorization的访问日志。
同时，安全团队要审计管理员令牌的使用记录，排查异常访问行为。
企业还应全面核查Kubernetes RBAC策略与自定义资源，确认是否存在未授权的配置变更。
参考来源：
Critical Dell Container Storage Flaws Let Unauthenticated Attackers Gain Full Administrative Control
https://cybersecuritynews.com/critical-dell-container-storage-flaws/