شرکت Dell به تازگی هشدار امنیتی مهمی را برای مدیران سیستم و متخصصان DevOps منتشر کرده است که بر دو آسیب‌پذیری با شدت بحرانی (Critical Severity) در ماژول‌های ذخیره‌سازی کانتینر (Container Storage Modules – CSM) تأثیر می‌گذارد. این شکاف‌های امنیتی که در تعامل بین آرایه‌های ذخیره‌سازی سازمانی Dell و محیط‌های کوبرنتیز نهفته‌اند، می‌توانند به مهاجمان اجازه دهند تا سطح دسترسی خود را تا حد Administrator ارتقا داده و کنترل زیرساخت ذخیره‌سازی را در اختیار بگیرند.
شناسایی ریشه بحران در Dell CSM
ماژول‌های ذخیره‌سازی کانتینر یا به اختصار Dell CSM مجموعه‌ای از درایورها و ابزارهای متن‌باز هستند که قابلیت‌های ذخیره‌سازی سازمانی Dell را به کلاستر‌های Kubernetes می‌آورند. طبق گزارش‌های فنی منتشر شده در اواخر پاییز ۱۴۰۳، دو آسیب‌پذیری با شناسه CVE-2024-XXXX (در انتظار تخصیص رسمی) شناسایی شده‌اند که به مهاجمان اجازه می‌دهد از طریق دسترسی به رابط‌های مدیریتی این ماژول‌ها، کدهای مخرب را با امتیازات دسترسی ریشه (Root) یا ادمین اجرا کنند. این نقص‌ها به‌ویژه برای زیرساخت‌هایی که از معماری‌های Multi-tenant در کوبرنتیز استفاده می‌کنند، تهدیدی جدی محسوب می‌شوند.
تحلیل فنی و ماهیت ارتقای امتیازات
معماری Dell CSM به گونه‌ای طراحی شده که مدیریت حجم‌های کاری (Persistent Volumes) را در آرایه‌های ذخیره‌سازی Dell (مانند PowerStore و PowerFlex) تسهیل کند. مشکل زمانی رخ می‌دهد که ورودی‌های غیرمجاز به متغیرهای محیطی یا درخواست‌های API بدون احراز هویت کافی پردازش شوند. مهاجم در صورت داشتن دسترسی محدود به کلاستر، می‌تواند با بهره‌برداری از این نقص‌ها در CSM، فرآیند احراز هویت را دور زده و دستورات سیستمی را در سطح Container Storage Interface (CSI) اجرا نماید. این دسترسی به معنای امکان تغییر در ساختار داده‌های ذخیره‌شده، حذف نسخه‌های پشتیبان یا نفوذ به لایه‌های پایین‌تر زیرساخت ذخیره‌سازی است.
مشخصات فنی و اقدامات اصلاحی
- نوع آسیب‌پذیری: ارتقای امتیاز غیرمجاز (Privilege Escalation) و تزریق کد.
- امتیاز CVSS: 10.0 (حداکثر شدت بحرانی).
- محصولات تحت تأثیر: تمامی نسخه‌های Dell CSM قبل از انتشار وصله امنیتی جدید.
- اقدام لازم: به‌روزرسانی فوری به آخرین نسخه پایدار از مخزن رسمی GitHub.
- محیط‌های حساس: تمامی محیط‌های Production که از درایورهای CSI اختصاصی Dell استفاده می‌کنند.
لزوم به‌روزرسانی و مدیریت چرخه حیات کانتینرها
سردبیران فنی SilverSky Tech تأکید می‌کنند که مدیریت وصله‌های امنیتی در محیط‌های Container-based متفاوت از زیرساخت‌های سنتی است. در بسیاری از موارد، مدیران سیستم به‌روزرسانی درایورهای CSM را نادیده می‌گیرند زیرا معتقدند این ماژول‌ها صرفاً وظیفه «اتصال» را بر عهده دارند. با این حال، با توجه به اینکه این درایورها مستقیماً با هسته سیستم عامل و لایه‌های سخت‌افزاری ذخیره‌سازی در ارتباط هستند، هرگونه خلل امنیتی در آن‌ها، عملاً تمامی داده‌های کلاستر را در معرض خطر قرار می‌دهد. پیشنهاد می‌شود تیم‌های امنیتی از ابزارهای پایش خودکار مانند Aqua Security یا Sysdig برای شناسایی نسخه دقیق CSM استفاده کرده و فرآیند Rolling Update را برای جایگزینی ماژول‌های آسیب‌پذیر آغاز کنند.
نتیجه‌گیری و توصیه‌های نهایی
در دنیای زیرساخت‌های ابری مدرن، تأمین امنیت تنها به دیواره آتش یا احراز هویت کوبرنتیز محدود نمی‌شود. لایه‌های میانی مانند ماژول‌های ذخیره‌سازی که در نقش واسط عمل می‌کنند، اغلب هدف حملات پیچیده زنجیره تأمین قرار می‌گیرند. ما در SilverSky Tech به مدیران شبکه پیشنهاد می‌کنیم در اولین فرصت در دی ماه ۱۴۰۳، ضمن بررسی لاگ‌های دسترسی، تمامی اتصالات CSM به آرایه‌های ذخیره‌سازی را بررسی کرده و نسبت به اعمال وصله‌های ارائه شده توسط تیم مهندسی Dell اقدام نمایند. غفلت در این مورد می‌تواند منجر به نشت داده‌های سازمانی شود که جبران آن بسیار دشوار خواهد بود.
