Red Hat Quay'de kritik açık CVE-2026-123710: anonim token ile kayıt imza anahtarı eklenebiliyor, özel imajlar açıkta
Red Hat, container registry Quay'de CVSS 9.8 puanlı CVE-2026-123710 açığını duyurdu. /keys uç noktasına erişebilen saldırgan kalıcı bir imza anahtarı ekleyip özel imajları okuyup değiştirebiliyor; düzeltilmiş sürüm henüz açıklanmadı.
CVE-2026-123710, CVE-2026-110697
Red Hat, kurumların container imajlarını tuttuğu registry ürünü Quay'de CVE-2026-123710 kimlikli kritik bir açığı duyurdu. Red Hat'in ön değerlendirmesine göre CVSS puanı 9.8. Açık, Quay'in service key sunucusundaki anahtar yenileme (key rotation) işleminde: Red Hat'e göre işlem, gelen token'ın gerçekten bir rotation yetkisi taşıyıp taşımadığını doğrulamıyor. Bu yüzden /keys uç noktasına erişebilen bir saldırgan, süresi dolmayan kendi imza anahtarını onaylı anahtarlar arasına ekleyebiliyor. Bu anahtarla imzalanan registry token'ları her depo için kabul ediliyor; sonuç, özel imajları okuma, yazma ve tag'leri değiştirme yetkisi.
Red Hat'in açıklamasına göre eklenen anahtar registry yeniden başlatıldığında da kalıyor, meşru instance anahtarını silerek registry'nin normal işleyişini bozabiliyor. SecurityWeek'in aktardığına göre parola değiştirmek ya da robot token'ları yenilemek sahte anahtarı geçersiz kılmıyor. Anonim erişimi kapatmak da yeterli değil: Red Hat, geçerli herhangi bir Quay hesabının açığı kullanabileceğini belirtiyor. Sahada istismar bildirilmedi ve açık CISA KEV kataloğunda değil. Açığı Red Hat'ten Dave O'Connor buldu.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Red Hat Quay (CVE-2026-123710) | Üretici bildirimindeki liste: /keys uç noktası güvenilmeyen istemcilere açık kurulumlar | Henüz açıklanmadı |
| Quay (açık kaynak, quay/quay) | Üretici bildirimindeki liste | Düzeltme 11 Kasım'da PR 8057 ile koda alındı; etiketli sürüm duyurulmadı |
Red Hat'in CVE sayfası ve Bugzilla kaydı etkilenen ya da düzeltilmiş sürüm numarası vermiyor; aynı düzeltme CVE-2026-110697 için de geçerli. Yamalı build ve RHSA bildirimi için Red Hat CVE sayfasını izleyin.
Beni etkiliyor mu?
Quay kullanıyorsanız ve /keys uç noktası registry'ye erişen istemcilerden (kullanıcılar, CI/CD, internet) ulaşılabiliyorsa etkileniyorsunuz. OpenShift ya da Kubernetes üzerinde Quay Operator ile kurulu sürümü salt okunur görmek için (oc kullanıyorsanız aynı get komutları geçerli):
kubectl get quayregistry -A
kubectl get csv -A | grep -i quayBağımsız (standalone) kurulumda çalışan imajın sürümünü görmek için (Podman kullanıyorsanız podman ps aynı çıktıyı verir):
docker ps | grep -i quaySahte anahtar eklenip eklenmediğini anlamak için Quay yönetim arayüzünde Superuser Admin Panel › Service Keys bölümündeki onaylı anahtarları ve audit log'daki service_key_rotate ile service_key_delete olaylarını inceleyin. Red Hat, son kullanma tarihi (expiration date) boş olan kayıtlara özellikle dikkat çekiyor.
Ne yapılmalı?
- Red Hat'in önerdiği geçici önlemi uygulayın: proxy ya da load balancer katmanında
/keysuç noktasına erişimi yalnızca güvenilen iç bileşenlerle sınırlayın. Bu değişikliği change management sürecinizden geçirin ve registry'nin kendi bileşenlerinin bu uç noktaya ulaşmaya devam ettiğini doğrulayın. - Service key listesini ve audit log'u inceleyin; tanımadığınız, süresiz onaylı anahtar varsa kaldırın. Red Hat'in uyarısına göre yamalı build kurulana kadar bu temizlik kalıcı değil, çünkü aynı istek yeni bir anahtar ekleyebilir. Önce erişim kısıtlamasını yapın.
- Anahtar eklendiğine dair iz bulursanız özel depolardaki imaj ve tag'lerin bütünlüğünü kontrol edin: tag'lerin beklenen digest'leri gösterip göstermediğini CI/CD kayıtlarınızla karşılaştırın, imza doğrulaması (cosign vb.) kullanıyorsanız deploy hattında zorunlu tutun.
- Red Hat'in yamalı build ve RHSA bildirimini izleyin; yayımlandığında öncelikli patch takvimine alın. Anonim erişimi kapatmak tek başına koruma sağlamıyor.
