Dell CSM: actualiza a 1.18.0 para proteger el almacenamiento en Kubernetes

Dell ha publicado una corrección para múltiples vulnerabilidades en Container Storage Modules (CSM), el conjunto de componentes que conecta Kubernetes con cabinas de almacenamiento Dell. El aviso DSA-2026-448 marca como afectadas todas las versiones anteriores a 1.18.0 y clasifica el impacto general como crítico. Entre los fallos hay dos puntuados con CVSS 10,0, incluido uno que podría permitir a un atacante remoto no autenticado acceder a credenciales administrativas de las cabinas registradas.

La alerta oficial detalla además un fallo del operador que podría elevar los permisos de una cuenta remota de bajo privilegio hasta obtener acceso root en nodos del clúster. Esto coloca en el mismo incidente el plano de almacenamiento y la frontera de Kubernetes: una actualización pendiente puede afectar secretos de backend, permisos de nodos y disponibilidad de volúmenes. Dell indica que CSM 1.18.0 o posterior corrige los problemas; el aviso DSA-2026-448 de Dell y la alerta AV26-1027 del Centro Canadiense para la Ciberseguridad permiten revisar el alcance.

Qué riesgo hay en el clúster

CVE-2026-63688 afecta al servidor gRPC de autorización de almacenamiento: Dell indica que un atacante remoto sin autenticación podría obtener credenciales administrativas de las cabinas registradas. CVE-2026-63692 también es de falta de autenticación en una función crítica y puede derivar en elevación de privilegios. CVE-2026-67269 afecta al reconciliador de recursos del operador y puede permitir a un atacante remoto de bajo privilegio alcanzar permisos root en nodos.

El boletín incluye otros defectos de credenciales, validación de certificados, registros y autorización. No todos tienen la misma ruta de explotación ni requieren el mismo nivel de acceso; por eso conviene consultar el CVE concreto cuando se evalúe impacto. El umbral de corrección del fabricante es común: las versiones anteriores a 1.18.0 están afectadas.

Inventariar y actualizar sin perder volúmenes

Empieza localizando cada clúster que despliega CSM, incluido desarrollo, recuperación y laboratorio. Registra la versión del operador, los módulos instalados, el método de despliegue, los controladores CSI, namespaces, nodos, cabinas asociadas y propietario técnico. Comprueba la versión que ejecuta cada clúster, no la versión de la cabina ni la del paquete Kubernetes.

Prepara la actualización a 1.18.0 o posterior usando el procedimiento de Dell que corresponda a la forma en que instalaste CSM. Revisa notas de compatibilidad, dependencias del controlador y estado de volúmenes antes de iniciar el cambio; coordina la ventana con quienes mantienen las aplicaciones con estado. Si no puedes actualizar de inmediato, limita el alcance de red de los servicios de CSM, restringe el acceso a las interfaces de almacenamiento y evita exponer endpoints de autorización fuera de los segmentos necesarios.

-InfraCrew dice: trata las credenciales de las cabinas como secretos de alto impacto; restringe quién puede leerlas y desde qué nodos se alcanzan los servicios de CSM.-

Validar la corrección y buscar abuso

Después de actualizar, verifica en cada clúster que el operador y sus componentes están listos y que no quedan réplicas antiguas ejecutándose. Confirma que las cargas pueden montar y escribir volúmenes, que el planificador recupera el servicio tras reubicar un pod y que las operaciones habituales de snapshot y restauración siguen funcionando. Una consola que informa del despliegue terminado no demuestra por sí sola que cada nodo esté usando la versión corregida.

Revisa los registros del operador, el servidor de autorización, la API de Kubernetes y el almacenamiento backend en busca de accesos inesperados, lecturas de secretos, cambios de rol o actividad fuera de la ventana. Si hay exposición del servicio o indicios de abuso, conserva evidencias, escala la investigación y rota credenciales de las cabinas coordinando primero el orden con el equipo de respuesta. Documenta versión anterior y nueva, clúster, hora, resultado funcional y cualquier activo excluido.

-InfraCrew dice: cierra el cambio cuando el inventario, la versión activa y una prueba de volumen coincidan; la seguridad del almacenamiento también depende del nodo que monta ese volumen.-

Diccionario de la Crew

• CSM — módulos de Dell que integran plataformas de almacenamiento con clústeres Kubernetes.
• CSI — interfaz estándar mediante la que Kubernetes solicita operaciones de almacenamiento a un controlador.
• Reconciliador — componente que compara el estado declarado en Kubernetes con el estado real y aplica cambios para hacerlos coincidir.