דל פרסמה חולשה בציון 9.8 ב-Container Storage Modules, חבילת הרכיבים שמחברת את מערכות האחסון שלה לסביבות קונטיינרים. לפי הרשומה, ברכיב בשם csm-docs נכתבו פרטי אימות קבועים בתוך המוצר, ותוקף שמגיע אליו ברשת יכול להשתמש בהם בלי להזדהות קודם. כל הגרסאות שלפני 1.18.0 מושפעות, ולא ידוע על ניצול בשטח.

מה החולשה?

כשמפתח צריך שרכיב אחד יזדהה מול רכיב אחר, הדרך הקלה היא לכתוב את שם המשתמש והסיסמה ישירות בתוך הקוד או בקובץ הגדרות שמגיע עם המוצר. זה עובד מיד, ולכן זה קורה.

הבעיה היא שהערכים האלה זהים בכל התקנה. הם אינם סוד של לקוח מסוים אלא סוד של המוצר, וברגע שמישהו אחד מצא אותם הוא מחזיק בהם מול כל מי שמריץ את אותה גרסה. אין כאן ניחוש סיסמאות ואין צורך בשרשרת ניצול מורכבת, יש פרט אימות שכתוב בפנים ומחכה. לדפוס הזה קוראים hard-coded credentials.

נקודה אחת ברשומה ראויה לתשומת לב. התיאור מגדיר את התוצאה כחשיפת מידע, בעוד הציון שהיא נושאת, 9.8, מסמן פגיעה גבוהה בסודיות, בשלמות ובזמינות גם יחד. שני הפרטים לא לגמרי מתיישבים זה עם זה, וכדאי להתייחס לציון כאל הגבול העליון ולא כאל תיאור מדויק של מה שתוקף משיג בפועל.

מי מושפע?

כל מי שמריץ Dell Container Storage Modules בגרסה שקדמה ל-1.18.0.

זה אינו מוצר של משתמש ביתי. הוא יושב בחוות שרתים, אצל ארגונים שמפעילים אחסון של דל מול סביבות קונטיינרים, ובישראל מדובר בעיקר בארגונים גדולים ובחברות עם תשתית משלהן.

מה שהופך את זה למשמעותי יותר ממספר ההתקנות הוא מה שיושב מאחוריהן. רכיב אחסון הוא הנקודה שדרכה עוברים הנתונים עצמם, ומי שמגיע אליו אינו מגיע לשירות צדדי.

האם מנוצלת בפועל?

לא ידוע על ניצול. החולשה אינה מופיעה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, שמרכז את החולשות שתוקפים נראו משתמשים בהן בשטח.

עם זאת, חולשה מהסוג הזה קלה במיוחד לניצול ברגע שהפרטים פומביים: מי שקרא אותם פשוט משתמש בהם, בלי שלב ביניים. ההחלטה לעדכן אינה צריכה להיות תלויה בשאלה אם מישהו כבר ניצל.

מה עושים?

בדקו את הגרסה של Dell Container Storage Modules שרצה אצלכם. כל גרסה שלפני 1.18.0 מושפעת, והמעבר ל-1.18.0 או לגרסה מאוחרת ממנה הוא התיקון.

ההודעה של דל, DSA-2026-448, מרכזת את העדכון הזה ואת שאר החולשות שטופלו באותה גרסה.

עד שהעדכון מותקן, הגבילו מי יכול להגיע ברשת אל הרכיב. הניצול מתבצע מרחוק ובלי הזדהות, ולכן כל צמצום של החשיפה הרשתית מצמצם אותו ישירות.

ואחרי העדכון, התייחסו לכל מה שפרטי האימות האלה הגנו עליו כאל מידע שייתכן שנחשף. סיסמה שהייתה כתובה בתוך המוצר אינה הופכת לסודית בדיעבד רק מפני שהגרסה החדשה כבר אינה מכילה אותה.