Dell corrige 44 fallos en PowerStore, siete con CVSS 9.8

Dell publicó el DSA-2026-479 el 30 de octubre para PowerStore T; Daily Security Review lo detalló el 2 de noviembre. El aviso enumera 44 CVE y siete alcanzan CVSS 9.8, con una concentración llamativa en SDNAS, la capa de servicios de archivos del array. No son 44 maneras equivalentes de entrar: cambian el componente, los privilegios y el resultado posible, así que el titular numérico no sustituye la lectura de la matriz.

La vulnerabilidad más fácil de explicar es CVE-2026-116443: un desbordamiento de pila en el servicio NAS TFTP puede permitir a un atacante remoto no autenticado provocar una denegación de servicio o, potencialmente, ejecutar código. Otros fallos del conjunto incluyen desbordamientos en SDNAS, inyección de comandos en el nodo NAS y recorrido de rutas que permitiría leer, modificar o borrar archivos. El punto común es el plano de servicios de archivos, no una prueba de que todas las interfaces de gestión estén expuestas desde Internet.

-InfraCrew dice: “44 vulnerabilidades” es un buen motivo para abrir el advisory; no una razón para asumir que las 44 comparten puerta y llave.-

Siete puntuaciones máximas, varios caminos de ataque

Dell asigna 9.8 a siete fallos; en el caso de TFTP, el vector publicado refleja acceso por red sin privilegios ni interacción del usuario. Otros CVE requieren acceso a la red interna o describen efectos distintos, como caída del servicio o cambios en archivos. CVSS puntúa severidad técnica bajo un escenario base: la topología de almacenamiento, las ACL y el alcance real de cada servicio determinan cuánto se parece ese escenario a una cabina concreta.

Un fallo del nodo NAS puede interrumpir el acceso a archivos o, según la vulnerabilidad concreta, permitir su exposición o modificación. Eso no equivale a decir que el advisory demuestre pérdida de datos, compromiso de cada volumen o explotación activa. Las fuentes consultadas no confirman ataques en curso; sí documentan consecuencias potenciales que justifican revisar el inventario y el nivel de exposición de los sistemas afectados.

En la lista aparecen varias familias PowerStore T, entre ellas 500T, 1000T, 3000T y 9000T, además de modelos Q. La tabla del fabricante vincula el remedio a PowerStore T OS 5.1.x: versiones anteriores a 5.1.0.0-2798105 deben pasar a ese build o posterior. No extrapoles esa fila a una versión, edición o modelo que no aparezca en el advisory; Dell publica filas específicas por producto y su portal de soporte es el punto para confirmar el paquete aplicable.

-InfraCrew dice: “PowerStore” en el inventario no sirve de checksum; modelo y build son los que deciden la fila correcta.-

-InfraCrew dice: en almacenamiento, un “modelo parecido” no es una ruta de actualización; la tabla existe precisamente para no adivinar.-

Cómo preparar la corrección

El inventario por modelo y versión es el primer filtro: cruza cada cabina y el papel de SDNAS con la tabla DSA-2026-479. La corrección indicada es actualizar al software remediado; no se debe convertir una restricción de red temporal en sustituto del parche. Si un servicio no se usa, revisa su configuración con el procedimiento soportado de Dell y con el dueño de la carga, en lugar de desactivar a ciegas componentes del plano de datos.

Planifica la ventana con el equipo que opera almacenamiento y las aplicaciones que consumen sus shares. Tras la actualización, comprueba el estado de la cabina, los servicios de archivos y las rutas de acceso desde los clientes que realmente dependen de ellos; una versión correcta en el inventario no confirma por sí sola que el servicio volvió sano. La verificación postcambio forma parte de la remediación, especialmente cuando el fallo toca interfaces que dan servicio a datos de producción.

Dell documenta siete fallos críticos y una corrección identificable para las versiones listadas; eso no significa que toda PowerStore esté comprometida. Prioriza primero el build y los productos afectados, y después cruza si TFTP, NFS u otros servicios llegan desde segmentos que no deberían. Esa secuencia reduce incertidumbre sin inflar un CVSS de base hasta convertirlo en una predicción sobre cada cabina.

Diccionario de la Crew

CVE — Identificador público asignado a una vulnerabilidad concreta.
SDNAS — Capa de servicios NAS de PowerStore que ofrece funciones de almacenamiento de archivos.
TFTP — Protocolo sencillo de transferencia de archivos; en este advisory aparece en un servicio NAS.
CVSS — Sistema que expresa severidad técnica a partir de un vector de impacto y condiciones base.
NFS — Protocolo de acceso a archivos en red; el advisory menciona una vulnerabilidad en su servicio NAS.

Fuentes

Dell — DSA-2026-479 | https://www.dell.com/support/kbdoc/en-us/000527640/dsa-2026-479-dell-powerstore-t-security-update-for-multiple-vulnerabilities
Daily Security Review — Dell fixes 44 PowerStore flaws | https://dailysecurityreview.com/resources/dell-fixes-44-powerstore-flaws-in-dsa-2026-479-seven-rated-9-8/