Критичен пропуст во Red Hat Quay им овозможува на напаѓачите да ги читаат и презапишуваат сите приватни слики во складиштето

Критичен безбедносен пропуст во Red Hat Quay им овозможува на напаѓачите кои имаат пристап до Quay складиште (registry) да ги читаат и презапишуваат приватните слики во сите негови репозиториуми.

Quay стандардно овозможува анонимен пристап, па додека оваа опција е активна, на напаѓачот не му е потребна корисничка сметка. Доколку анонимниот пристап е оневозможен, ранливоста и понатаму може да ја искористи секој што поседува валидна сметка, соопшти Red Hat вчера. Компанијата објави поправени верзии за осум гранки на Quay 3.

Пропустот се следи како CVE-2026-123710 (CVSS оцена: 9.8).

Quay користи доверливи клучеви за потпишување на токените за пристап што овозможуваат поставување и преземање слики. Ранливоста му овозможува на напаѓачот да додаде сопствен клуч во листата на клучеви на кои Quay им верува, без да постави датум на истекување. Потоа Quay ги прифаќа токените потпишани со тој клуч за кој било репозиториум.

Со помош на овие токени, напаѓачот може да презема приватни слики, како и сите тајни податоци или акредитиви зачувани во нив. Исто така, може да поставува нови слики или да ги презапишува постојните. Секоја таква промена автоматски се пренесува на сите системи што подоцна ќе ги преземат тие слики.

Вметнатиот клуч останува активен и по рестартирање на системот, сè додека не биде рачно отстранет. Напаѓачот може да го искористи и за бришење на клучевите што ги користат активните Quay инстанци, по што вообичаените операции за поставување и преземање слики почнуваат да откажуваат поради грешки при автентикацијата.

Серверот за клучеви на Quay проверува дали барањето за замена на клуч содржи токен потпишан со доверлив клуч, со очекуваната публика (audience) и издавач (issuer). Меѓутоа, не проверува дали токенот навистина бил издаден за ротација на клучеви. Анонимен токен од крајната точка /v2/auth на Quay ја поминува оваа проверка: Quay го потпишува со доверлив клуч, а корисникот што го испраќа барањето сам ја избира неговата публика.

Истовремено беше откриен и втор критичен пропуст, CVE-2026-110697 (CVSS оцена: 9.9). Тој му овозможува на корисник на Quay, кој има дозвола да креира именски простор (namespace), да ги украде токените на сервисните сметки (robot accounts) на други корисници и да ги искористи за читање, поставување или презапишување на нивните слики.

Овој пропуст се наоѓа во кодот што ги прикажува сервисните сметки. При генерирањето на SQL LIKE шаблонот, системот го користи името на именскиот простор без да ги заштити специјалните знаци. Во SQL LIKE пребарувањата, долната црта (_) претставува заменски знак што одговара на кој било еден знак.

Поради тоа, именски простор со долна црта на соодветната позиција може да се совпадне со именскиот простор на друг корисник и да ги открие неговите сервисни сметки, заедно со нивните декриптирани токени. На напаѓачот не му се потребни дополнителни привилегии, а жртвата не мора да преземе никаква активност за нападот да успее.

Бришењето на именскиот простор на напаѓачот ги брише и соодветните сервисни сметки, што може да ги оневозможи системите што зависат од нив. Кога Quay се користи како интегрирано складиште за овие слики во OpenShift, украдените акредитиви на сервисните сметки може да се искористат за вметнување малициозни слики во CI/CD процесите, предупредува компанијата.

Дејвид О’Конор (Dave O’Connor) од Red Hat ги открил двата пропусти. Според извештајот за ранливоста, логиката што ја овозможува CVE-2026-123710 постои во Quay уште од неговото прво јавно објавување на изворниот код.

Red Hat наведува дека сите верзии на Quay 3 и Quay 5 се засегнати од двата пропусти. За CVE-2026-123710, компанијата посочува дека ранливи се самостојните инсталации, Quay распореден преку Quay Operator на OpenShift, како и Mirror Registry за Red Hat OpenShift.

Секоја Quay инстанца до која можат да пристапат недоверливи клиенти е изложена на ризик, вклучително и интерните складишта, предупредува компанијата.

При проверката извршена денес, записот за CVE-2026-123710 сè уште ги наведувал сите Quay пакети како засегнати, без достапна поправка, иако ранливоста е наведена во секое од безбедносните известувања.

Компанијата ги препорачува следните мерки:

1. На прокси-серверот или балансерот на оптоварување да се блокира пристапот до крајната точка /keys за сите системи, освен за доверливите интерни компоненти.
2. Да се проверат логовите за ревизија (audit logs) и да се побараат настаните service_key_rotate и service_key_delete кај кои вредноста на expiration_date е null.
3. Да се отстранат сите одобрени сервисни клучеви кои не се препознаваат.
4. Да се инсталира верзијата со безбедносната поправка. Додека не се примени ажурирањето, напаѓачот може повторно да додаде нов клуч на истиот начин, па самото бришење на клучот не претставува трајно решение.

„Оневозможувањето на анонимниот пристап не ве штити“, предупредува компанијата во својот безбедносен водич за отстранување на ранливоста. Вметнатиот клуч продолжува да функционира дури и по промена или ресетирање на лозинките, како и по промена на токените на сервисните сметки.

Во однос на CVE-2026-110697, страницата на Red Hat посветена на ранливоста ги наведува истите осум верзии како поправени. Компанијата посочува дека ажурирањето е единственото целосно решение и потврдува дека проблемот на Quay.io веќе е отстранет. Сепак, ниту едно од осумте безбедносни известувања не ја наведува CVE-2026-110697.

До инсталирањето на ажурирањето, компанијата препорачува да се ограничи кој може да креира организации или именски простори чии имиња содржат долна црта, да се сменат токените на сервисните сметки за сите именски простори што се совпаѓаат со имиња што содржат долна црта и да се следат преземањата и поставувањата на слики што отстапуваат од вообичаеното користење на сервисните сметки. Овие мерки го намалуваат ризикот, но не ја отстрануваат самата ранливост.

Поправката во изворниот код ја додава проверката за ротација на клучеви што недостасувала, бара секој клуч додаден преку серверот за клучеви да има датум на истекување и спречува корисниците сами да ја избираат публиката на токенот. Истата измена го поправа и проблемот со пребарувањето на сервисните сметки.

Извори:

• The Hacker News – Critical Red Hat Quay Flaw Lets Attackers Read and Overwrite All Private Container Images in a Registry The Hacker News