Kritikus Red Hat Quay-sérülékenység
Kritikus, 9,8-as CVSS-besorolású sérülékenységet hozott nyilvánosságra a Red Hat a Quay vállalati konténerregiszterében. A 2026. november 11-én publikált, CVE-2026-123710 azonosítójú hiba lehetővé teheti, hogy egy támadó jogosulatlanul hozzáférjen a regiszterben tárolt valamennyi privát konténer imagehez, módosítsa azokat, vagy rosszindulatú változatokra cserélje a szoftverek telepítéséhez használt állományokat.
A Red Hat Quay a konténeralapú alkalmazások fejlesztésében és üzemeltetésében használt központi tároló. Innen töltik le a vállalati rendszerek, köztük a Kubernetes- és OpenShift-környezetek az alkalmazások futtatásához szükséges konténerképeket. A regiszter kompromittálása ezért nemcsak adatlopáshoz, hanem a szoftverellátási lánc veszélyeztetéséhez is vezethet.
A sérülékenység a hozzáférést szabályozó digitális tokenek aláírókulcsainak kezelésében található. A Quay egyes konfigurációkban lehetővé teszi, hogy a felhasználók bejelentkezés nélkül is hozzáférési tokent igényeljenek. A kulcscserét végző szolgáltatás azonban nem ellenőrzi megfelelően, hogy a bemutatott token valóban jogosít-e aláírókulcsok módosítására.
A támadó ezt kihasználva saját, megbízhatónak elfogadott aláírókulcsot helyezhet el a rendszerben. Ezzel tetszőleges jogosultságokat tartalmazó tokeneket állíthat elő, amelyekkel megkerülheti a regiszter hozzáférés-ellenőrzését. A Red Hat szerint így nemcsak privát konténerképeket olvashat ki, hanem új állományokat is feltölthet, illetve meglévő képeket írhat felül.
A támadás különösen veszélyes következménye, hogy a rosszindulatú aláírókulcs lejárati idő nélkül is létrehozható, és a szolgáltatás újraindítása után is megmaradhat. A hagyományos jelszócsere vagy a robotfiókok tokenjeinek megújítása ezért önmagában nem feltétlenül szünteti meg a támadó hozzáférését.
A hiba a Red Hat Quay 3 és Quay 5 termékvonalakat érinti. A kihasználás feltétele, hogy az aláírókulcsok kezelésére szolgáló /keys végpont nem megbízható kliensek számára is elérhető legyen. Az alapértelmezés szerint engedélyezett anonim hozzáférés esetén a támadónak felhasználói fiókra sincs szüksége, de az anonim hozzáférés kikapcsolása önmagában nem elegendő védelem, mert érvényes Quay-fiókkal is kihasználható lehet a hiba.
A Red Hat azt javasolja, hogy az üzemeltetők azonnal korlátozzák a kulcskezelési végpont elérését, és vizsgálják át a szolgáltatás kulcscserével kapcsolatos naplóbejegyzéseit. Különösen fontos az ismeretlen, jóváhagyott aláírókulcsok felkutatása és eltávolítása, valamint a javított szoftververziók telepítése.
