Red Hat Quay'deki kritik açıklar için patch geldi: Quay 3'ün sekiz dalına RHSA yayımlandı, Quay 5 hâlâ bekliyor
Red Hat, Quay'deki CVE-2026-123710 (CVSS 9.8) ve CVE-2026-110697 (CVSS 9.9) açıkları için Quay 3.9 ile 3.18 arasındaki sekiz dala düzeltilmiş imaj yayımladı. Red Hat kayıtlarında Quay 5 hâlâ "etkileniyor" durumunda ve düzeltmesi listelenmiyor.
CVE-2026-123710, CVE-2026-110697
Red Hat, container registry ürünü Quay'deki iki kritik açık için düzeltilmiş imajları yayımladı. 12 Kasım'da yazdığımız ilk haberde CVE-2026-123710 için düzeltilmiş sürüm henüz açıklanmamıştı. Red Hat'in güvenlik verisinde artık Quay 3'ün sekiz dalı için 11 Kasım tarihli RHSA bildirimleri yer alıyor. Aynı bildirimler, Red Hat'in CVSS 9.9 puan verdiği CVE-2026-110697 kaydında da düzeltme olarak listeleniyor.
CVE-2026-123710, Red Hat'in tanımıyla kimliği doğrulanmamış bir istemcinin service key sunucusu üzerinden registry'nin token imzalama yetkisini ele geçirmesine imkân veriyor: saldırgan süresi dolmayan kendi imza anahtarını onaylı anahtarlar arasına ekleyebiliyor, ardından özel imajları okuyup değiştirebiliyor. Red Hat'in CVE sayfalarında sahada istismar bilgisi yok ve iki açık da CISA KEV kataloğunda değil.
Etkilenen ve düzeltilmiş sürümler
Red Hat sürüm numarası yerine dal başına RHSA bildirimi ve imaj etiketi veriyor; aşağıdaki tablo Red Hat güvenlik verisindeki kayıtlardır.
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Red Hat Quay 3.18 | Üretici bildirimindeki liste | RHSA-2026:99019 (quay/quay-rhel9) |
| Red Hat Quay 3.17 | Üretici bildirimindeki liste | RHSA-2026:99026 (quay/quay-rhel9) |
| Red Hat Quay 3.16 | Üretici bildirimindeki liste | RHSA-2026:99022 (quay/quay-rhel9) |
| Red Hat Quay 3.15 | Üretici bildirimindeki liste | RHSA-2026:99023 (quay/quay-rhel8) |
| Red Hat Quay 3.14 | Üretici bildirimindeki liste | RHSA-2026:99024 (quay/quay-rhel8) |
| Red Hat Quay 3.12 | Üretici bildirimindeki liste | RHSA-2026:99027 (quay/quay-rhel8) |
| Red Hat Quay 3.10 | Üretici bildirimindeki liste | RHSA-2026:99025 (quay/quay-rhel8) |
| Red Hat Quay 3.9 | Üretici bildirimindeki liste | RHSA-2026:99021 (quay/quay-rhel8) |
| Red Hat Quay 5 | Etkileniyor | Henüz listelenmedi |
Tabloda olmayan Quay 3 dalları (3.11, 3.13 gibi) için Red Hat kaydında düzeltme görünmüyor; bu dallardaysanız destek durumunu ve yükseltme yolunu Red Hat ürün yaşam döngüsü sayfasından doğrulayın. Dalınıza ait imajın tam etiketi ilgili RHSA sayfasında yazıyor. The Hacker News, yayımlanan sekiz bildirimin metninde CVE-2026-110697 kimliğinin geçmediğini, buna karşın CVE sayfasının aynı sekiz sürümü düzeltilmiş gösterdiğini aktarıyor.
Beni etkiliyor mu?
Quay 3 ya da Quay 5 çalıştırıyorsanız ve dalınızın RHSA imajına geçmediyseniz etkileniyorsunuz. Quay Operator ile kurulu sürümü salt okunur görmek için (oc kullanıyorsanız aynı get komutları geçerli):
kubectl get quayregistry -A
kubectl get csv -A | grep -i quayBağımsız (standalone) kurulumda çalışan imajın etiketini görmek için (Podman'da podman ps aynı çıktıyı verir):
docker ps | grep -i quayÇıkan imaj etiketini dalınızın RHSA sayfasındaki etiketle karşılaştırın. Patch öncesinde anahtar eklenip eklenmediğini anlamak için Superuser Admin Panel › Service Keys bölümündeki onaylı anahtarlara ve audit log'daki service_key_rotate ile service_key_delete olaylarına bakın; Red Hat, son kullanma tarihi boş olan kayıtlara dikkat çekiyor.
Ne yapılmalı?
- Quay 3.9–3.18 arasındaki listelenen dallardaysanız dalınıza ait RHSA imajına geçişi öncelikli patch takvimine alın; change management kaydı açın ve registry'ye bağlı CI/CD hatlarını bilgilendirin.
- Patch tek başına geçmişi temizlemez: yükseltmeden sonra service key listesini ve audit log'u inceleyin, tanımadığınız süresiz onaylı anahtarları kaldırın. Sıra önemli; önce düzeltilmiş imaj, sonra temizlik.
- Quay 5 kullanıyorsanız ya da hemen yükseltemiyorsanız Red Hat'in geçici önlemini sürdürün: proxy ya da load balancer katmanında
/keysuç noktasına erişimi yalnızca güvenilen iç bileşenlerle sınırlayın. Bu bir workaround'dur, kalıcı çözüm değildir. - Şüpheli anahtar izi bulduysanız özel depolardaki tag'lerin beklenen digest'leri gösterdiğini CI/CD kayıtlarınızla karşılaştırın; imza doğrulamasını (cosign vb.) deploy hattında zorunlu tutun.
- Quay 5 düzeltmesi için Red Hat CVE sayfalarını izleyin.
