В NetApp StorageGRID есть уязвимость CVE-2026-22056. Платформа объектного хранения данных допускает частичный отказ в обслуживании по сети. Оценка по методологии CVSS 4.0 - 2.3, низкий уровень угрозы. Проблема касается систем версии 11.5 и выше, но не всех: она даёт о себе знать только при нестандартной конфигурации и определённом развитии событий.
CVE-2026-22056 в StorageGRID и исправленные версии
В основе лежит класс ошибок CWE-774. Программа выделяет файловые дескрипторы, не ограничивая их количество и не применяя регулирование. Файловый дескриптор - служебный указатель, через который процесс обращается к открытому файлу, сетевому соединению или другому ресурсу. Операционная система выдаёт такие указатели из ограниченного пула. Когда приложение запрашивает их снова и снова, не освобождая, запас заканчивается. Узел перестаёт обслуживать часть обращений.
NetApp описывает сценарий сдержанно. Для эксплуатации злоумышленнику нужен некоторый контроль над средой. Взаимодействие пользователя не требуется, однако атака идёт по сети при высоких требованиях к условиям - об этом говорит показатель AC:H в векторе CVSS. Определённые права в системе тоже необходимы, на что указывает PR:L. Влияние ограничивается доступностью и остаётся частичным. Конфиденциальность и целостность данных под угрозу не попадают.
По сведениям вендора, публичного обсуждения уязвимости нет. О реальных атаках NetApp тоже не сообщает. Низкая оценка и обязательное условие с нестандартной конфигурацией снижают интерес к проблеме со стороны случайного злоумышленника. Для администратора это значит, что приоритет у задачи невысокий, но и повода игнорировать её нет.
StorageGRID обслуживает крупные массивы неструктурированных данных. При частичном отказе узла страдает доступ к объектам, а не вся система целиком. Однако в кластерах хранения недоступность даже одного узла усложняет работу дежурной смены. Ошибки в управлении ресурсами, подобные неограниченному выделению дескрипторов, поэтому требуют планового исправления, а не срочных мер.
Под уязвимость попадают две линейки. Первая - StorageGRID 12.1.x до версии 12.1.0.1. Вторая - выпуски старше 12.0.0.8. Остальные версии вендор считает не подверженными проблеме.
Что делать администраторам
Обновите систему до 12.1.0.1, если эксплуатируется ветка 12.1.x. Для более старых выпусков целевая версия - 12.0.0.8. Полный перечень исправлений NetApp приводит в бюллетене NTAP-20260828-0021, последняя редакция которого датируется 12 октября 2026 года. Обходных мер вендор не описывает, так что откладывать установку незачем.
До установки обновления сузьте круг лиц с доступом к среде StorageGRID и к её административным интерфейсам. Эксплуатация требует прав и контроля над средой; меньше пользователей с такими возможностями - меньше возможностей и для атаки. Если регламент обслуживания не позволяет обновиться быстро, изолируйте хранилище от недоверенных сетей и пересмотрите список тех, кто способен влиять на его конфигурацию.
Нестандартная конфигурация, о которой говорит NetApp, - ключевая деталь. Типовое развёртывание под удар не попадает. Но отклонения от стандарта накапливаются в крупных инфраструктурах незаметно; полезно проверить, не сложилось ли у вас именно то сочетание настроек, которое открывает путь к отказу.
Отдельная линия - производительность. Частичный отказ в обслуживании редко выглядит как полная остановка. Растёт время ответа, часть запросов завершается ошибкой, и заметить это можно только по метрикам узлов. Если в StorageGRID собираются графики потребления ресурсов, сравните их после обновления с периодом до него.
Масштаб проблемы невелик: оценка 2.3, эксплуатация не подтверждена, условия жёсткие. Для парка систем хранения и такая уязвимость означает плановое обновление по регламенту. NetApp закрыла её в двух ветках, и этого достаточно, чтобы вопрос был исчерпан.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-22056
- https://security.netapp.com/advisory/NTAP-20260828-0021
