Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-110697 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-11 |
| Producent | Red Hat |
| Produkt | Quay |
| Typ podatności | niewłaściwa neutralizacja znaków w zapytaniu SQL (CWE-89) |
| CVSS Score | 9.9 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD, Red Hat
W Red Hat Quay wykryto błąd: funkcja listowania kont robotów (robot accounts) buduje wzorzec SQL LIKE z kontrolowanych przez użytkownika nazw przestrzeni (namespace), nie escapując metaznaków wieloznacznych. Atakujący, który utworzy przestrzeń zawierającą znak podkreślenia, może dopasować i pobrać konta robotów wraz z ich odszyfrowanymi tokenami uwierzytelniającymi z przestrzeni innych dzierżawców. Prowadzi to do kradzieży poświadczeń między dzierżawcami i nieautoryzowanych operacji na obrazach.
Tokeny kont robotów są zwykle używane przez potoki CI/CD do wypychania i pobierania obrazów — ich przejęcie pozwala podmienić obraz kontenera, który trafi na produkcję. W tym samym czasie opublikowano drugą krytyczną lukę Quay — CVE-2026-123710.
Wymagane działania
- Zaktualizuj Red Hat Quay do wersji z poprawką wskazanej na stronie Red Hat dla CVE-2026-110697.
- Po aktualizacji zrotuj tokeny kont robotów — szczególnie w instancjach współdzielonych przez wiele zespołów lub klientów.
- Przejrzyj logi audytu Quay pod kątem nieoczekiwanych operacji push/tag wykonanych przez konta robotów.
- Do czasu aktualizacji ogranicz możliwość tworzenia nowych przestrzeni (organizacji) przez użytkowników.
Kogo dotyczy?
Podatność dotyczy Red Hat Quay — prywatnego rejestru obrazów kontenerów, często wdrażanego razem z OpenShift. Najbardziej narażone są instancje wielodzierżawcze, współdzielone przez wiele zespołów lub klientów.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
Najczęściej zadawane pytania
Czym jest podatność CVE-2026-110697?
CVE-2026-110697 to błąd w Red Hat Quay (CWE-89): nieescapowany wzorzec SQL LIKE w listowaniu kont robotów pozwala odczytać tokeny innych dzierżawców. Ocena CVSS: 9.9.
Czy do wykorzystania CVE-2026-110697 potrzebne jest uwierzytelnienie?
Tak, atakujący potrzebuje konta o niskich uprawnieniach, które pozwala utworzyć przestrzeń (namespace) w Quay.
Jak zabezpieczyć się przed CVE-2026-110697?
Zaktualizować Red Hat Quay do wersji z poprawką, zrotować tokeny kont robotów i przejrzeć logi audytu.
Kogo dotyczy CVE-2026-110697?
Organizacji korzystających z Red Hat Quay, zwłaszcza w konfiguracji wielodzierżawczej.
