Dell Container Storage Modules הם הרכיבים שמחברים אשכול Kubernetes אל מערכות האחסון של Dell. בגרסאות שלפני 1.18.0 יש בהם חולשה שמאפשרת, לפי Dell, לתוקף מרוחק בהרשאות נמוכות להסלים את ההרשאות שלו. הציון הוא 9.6 מתוך 10, והתיקון נמצא בגרסה 1.18.0.

מה החולשה?

תבנית היא שלד של טקסט עם מקומות ריקים שממולאים מתוך נתונים: שם המשתמש נכנס לכאן, שם הנפח לשם. מנוע התבניות הוא מה שמבצע את המילוי. כל זה עובד כל זמן שהמנוע מבדיל בין השלד, שהמפתח כתב, לנתונים, שמגיעים מבחוץ. כשהנתונים נכנסים אל השלד בלי שהתווים המיוחדים שבהם נוטרלו, המנוע מתייחס למה שהתוקף שלח כאל הוראה ומבצע אותה. לכשל הזה קוראים הזרקה למנוע תבניות, והסיווג הוא CWE-1336.

ההודעה של Dell מתארת את התוצאה, הסלמת הרשאות, ולא את המנגנון: היא אינה אומרת לאיזו תבנית הקלט נכנס ואיזה שדה נושא אותו. גם המילה שהיא בוחרת ראויה לתשומת לב, "יכול באופן פוטנציאלי לנצל", ולא קביעה שהניצול הודגם.

מה שהדירוג כן אומר הוא היכן זה כואב: ההיקף משתנה. התוקף אינו מסתיים בהרשאות גבוהות יותר באותו רכיב אלא משפיע על משאבים שמחוצה לו, וההשפעה על סודיות ושלמות מדורגת גבוהה בעוד שעל הזמינות אין פגיעה. זה דיוק חשוב: החולשה הזאת אינה מפילה את האחסון, היא מעבירה שליטה עליו.

ולמה הרשאות נמוכות הן התנאי המדאיג כאן ולא המרגיע. באשכול Kubernetes, חשבון בהרשאות נמוכות הוא מה שמקבלת כל אפליקציה שרצה בו. כל יישום שנפרץ בתוך האשכול, וכל צוות שיש לו מקטע משלו, מתחיל מהמקום שהחולשה דורשת.

מי מושפע?

לפי ההודעה, כל הגרסאות של Dell Container Storage Modules שלפני 1.18.0. הרשומה אינה מונה את המודולים אחד אחד, ולכן ההנחה הנכונה היא שכל התקנה בגרסה נמוכה מ-1.18.0 נמצאת בטווח עד שבדיקה בהודעת היצרן אומרת אחרת.

הקהל הוא ארגונים שמריצים Kubernetes על אחסון של Dell, כלומר מרכזי נתונים ארגוניים ולא משתמשים פרטיים. בישראל אלה בעיקר חברות גדולות, גופים ציבוריים וספקי שירות, ומי שאינו מריץ אשכול Kubernetes עם אחסון Dell אינו צריך לעשות דבר.

האם מנוצלת בפועל?

לא. החולשה אינה מופיעה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, ואין בהודעה או ברשומה דיווח על ניצול בשטח. ההודעה אף נוקטת לשון של אפשרות ולא של ניצול שנצפה.

עם זאת, רכיב אחסון באשכול הוא מטרה שמשתלמת לתוקף שכבר בפנים. הוא נוגע בנתונים של כל מי שמשתמש באשכול, ולכן חולשה שמעלה הרשאות דרכו היא בדיוק הצעד שמחפשים אחרי חדירה ראשונה ליישום אחד.

מה עושים?

1. בדקו את גרסת ה-Container Storage Modules המותקנת באשכול. כל גרסה שנמוכה מ-1.18.0 בטווח.
2. עדכנו ל-1.18.0 או לגרסה חדשה יותר. הודעת העדכון DSA-2026-448 של Dell מרכזת את החולשה הזאת יחד עם נוספות שתוקנו באותה גרסה, כך שהעדכון סוגר יותר מאחת.
3. עד לעדכון, עברו על ההרשאות באשכול וצמצמו את מי שיכול לפנות לרכיבי האחסון. ההנחה שכדאי לעבוד לפיה היא שחשבון בהרשאות נמוכות באשכול הוא כל מה שהחולשה דורשת, ולכן הגבול שחשוב כאן הוא בין היישומים לרכיב האחסון.
4. ומכיוון שההודעה מתארת הסלמת הרשאות, שווה לבדוק מה היה: עברו על יומני הביקורת של האשכול וחפשו חשבונות שירות שביצעו פעולות שאינן בתחום שלהם מול רכיבי האחסון.