Dell PowerScale OneFS: исправлена уязвимость некорректной авторизации (CVE-2026-46460)
В ходе планового анализа безопасности компания Dell в партнерстве с исследователями выявила недостаток в механизмах контроля доступа файловой системы Dell PowerScale OneFS. Уязвимость классифицирована как ошибка некорректной авторизации (CWE-863) и может представлять операционный риск для организаций, использующих данные СХД в критических средах.
Подробности
Проблема затрагивает следующие ветки Dell PowerScale OneFS:
- версии с 9.5.0.0 по 9.7.1.15;
- версии с 9.8.0.0 по 9.13.1.0;
- все версии до 9.15.0.0.
Уязвимость типа Incorrect Authorization позволяет пользователю с низким уровнем привилегий (например, стандартному аккаунту без прав администратора) при наличии физического или логического доступа к смежному сегменту сети (adjacent network) выполнять несанкционированные изменения системных журналов (audit logs). Эксплуатация не требует сложных действий или специальных векторов атаки: достаточно возможности отправки модифицированных сетевых запросов к уязвимому узлу. Базовый балл CVSS v3.1 составляет 3.5 (LOW), что объясняется ограниченным влиянием на конфиденциальность и целостность, однако модификация журналов может затруднить расследование инцидентов и скрыть следы более серьезных атак.
Что делать
Вендором выпущены обновления, устраняющие проблему. Компания Dell рекомендует администраторам выполнить следующие шаги:
- Обновить OneFS до версии 9.15.0.0 или более поздней, либо до последних исправленных сборок в поддерживаемых ветках (информация о конкретных патчах доступна в бюллетене безопасности Dell DSA-2026-087).
- Ограничить сетевой доступ к панелям управления и API-интерфейсам OneFS правилами межсетевого экрана, исключив доступ из недоверенных сегментов.
- Провести аудит прав пользователей и отозвать лишние привилегии у учетных записей с низким уровнем доступа.
- Настроить мониторинг целостности журналов: включить отправку копий логов на удаленный SIEM-сервер с правами только на чтение.
Дополнительно рекомендуется проверить системные журналы на наличие признаков вмешательства в период до применения обновлений.
Итог: Несмотря на низкий балл CVSS, уязвимость CVE-2026-46460 затрагивает системы хранения данных, которые часто являются доверенной основой для смежных ИТ-сервисов. Оперативное обновление OneFS и усиление контроля доступа к сети хранения — обязательные меры для поддержания безопасности инфраструктуры.
Источник: CVE Project (cvelistV5)