Vulnerabilidades y Avisos de Seguridad: Omisión de autenticación en StorageGRID de NetApp

Resumen de la alerta

NetApp ha publicado una corrección para una vulnerabilidad crítica de omisión de autenticación en StorageGRID, anteriormente denominado StorageGRID Webscale. El fallo está identificado como CVE-2026-22058 y afecta a varias ramas del producto que no cuenten con las actualizaciones correspondientes.

La vulnerabilidad podría permitir a un atacante realizar solicitudes no autorizadas mediante una ruta alternativa que evita los controles de autenticación. Para ello, necesitaría conocimientos específicos sobre StorageGRID y capacidad de comunicarse con determinados puertos de la Grid Network.

El impacto potencial incluye la afectación de la confidencialidad y de la integridad de la información almacenada o gestionada por la plataforma. INCIBE-CERT clasifica el aviso con severidad crítica. No obstante, la fuente indica “Explotación: No”, por lo que no hay constancia de explotación activa conocida asociada a esta vulnerabilidad.

Recursos afectados

El aviso afecta a StorageGRID de NetApp desde la versión 11.3 cuando no se han aplicado las correcciones correspondientes, incluidas las siguientes ramas:

• Ramas 11.3 a 11.8.
• Rama 11.9: versiones anteriores a 11.9.0.15.
• Rama 12.0: versiones anteriores a 12.0.0.9.
• Rama 12.1: versiones anteriores a 12.1.0.1.

Descripción de la vulnerabilidad

CVE-2026-22058 describe un mecanismo alternativo que puede utilizarse para eludir la autenticación en StorageGRID. La autenticación es el proceso mediante el cual un sistema verifica la identidad de quien realiza una petición antes de permitirle acceder a funciones o recursos.

En este caso, la existencia de una ruta alternativa podría permitir el envío de solicitudes sin superar los controles de autenticación previstos. Según la información disponible, la explotación requiere conocimientos específicos del producto y acceso de red a determinados puertos de la Grid Network.

Impacto y nivel de riesgo

Una explotación satisfactoria podría permitir peticiones no autorizadas contra StorageGRID, con capacidad potencial para comprometer la confidencialidad y la integridad de la información. Esto significa que un atacante podría llegar a acceder a información sin autorización o alterar datos, dentro de los límites que posibiliten las solicitudes afectadas.

La severidad crítica justifica priorizar la revisión de los entornos expuestos o conectados a la Grid Network. Sin embargo, el riesgo no debe confundirse con una intrusión confirmada: el aviso no informa de ataques observados ni de explotación activa de CVE-2026-22058.

Solución y medidas recomendadas

La medida indicada es actualizar StorageGRID a una versión corregida de la rama correspondiente:

• StorageGRID 11.9.0.15.
• StorageGRID 12.0.0.9.
• StorageGRID 12.1.0.1.

Para las ramas anteriores a la 11.9, se debe migrar a una versión corregida, conforme al boletín de NetApp.

La actualización o migración a una versión corregida es la solución oficial indicada para eliminar la vulnerabilidad. Las medidas de control de acceso o segmentación de red pueden reducir la exposición, pero no sustituyen la aplicación de la corrección publicada.

Recomendaciones para organizaciones afectadas

1. Identificar las instancias de NetApp StorageGRID desplegadas en la organización y confirmar la versión instalada.
2. Priorizar la actualización a 11.9.0.15, 12.0.0.9 o 12.1.0.1, según la rama utilizada.
3. Planificar la migración a una versión corregida si se mantienen ramas entre la 11.3 y la 11.8.
4. Revisar qué sistemas pueden comunicarse con los puertos de la Grid Network implicados, dado que la explotación requiere conectividad hacia determinados puertos de dicha red.
5. Tratar el aviso como una prioridad de gestión de vulnerabilidades, manteniendo la distinción entre el impacto potencial descrito y la ausencia de explotación conocida indicada por la fuente.