Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-123710 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-11 |
| Producent | Red Hat |
| Produkt | Quay |
| Typ podatności | nieprawidłowa walidacja danych, obejście uwierzytelnienia (CWE-1287) |
| CVSS Score | 9.8 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD, Red Hat
W Red Hat Quay wykryto błąd: nieuwierzytelniony klient może uzyskać anonimowy token rejestru z kontrolowaną przez siebie wartością audience, przedstawić go punktowi końcowemu rotacji kluczy usługi i zainstalować własny, zatwierdzony klucz podpisujący bez daty ważności. Tokeny rejestru podpisane tym kluczem są akceptowane dla dowolnego repozytorium, co daje odczyt i zapis prywatnych obrazów oraz możliwość podmiany tagów repozytoriów.
Podmiana tagu (np. latest lub wersji produkcyjnej) oznacza, że przy następnym wdrożeniu klaster uruchomi obraz przygotowany przez atakującego — to klasyczny atak na łańcuch dostaw. W tym samym czasie opublikowano drugą krytyczną lukę Quay — CVE-2026-110697.
Wymagane działania
- Zaktualizuj Red Hat Quay do wersji z poprawką wskazanej na stronie Red Hat dla CVE-2026-123710.
- Sprawdź listę kluczy usług (service keys) w Quay i usuń klucze, których nie rozpoznajesz — zwłaszcza bez daty ważności.
- Zweryfikuj integralność obrazów w prywatnych repozytoriach (digesty, podpisy) i przejrzyj historię tagów.
- Do czasu aktualizacji ogranicz dostęp sieciowy do Quay do zaufanych sieci.
Kogo dotyczy?
Podatność dotyczy Red Hat Quay — prywatnego rejestru obrazów kontenerów, często wdrażanego razem z OpenShift. Szczególnie narażone są instancje osiągalne z internetu.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
Najczęściej zadawane pytania
Czym jest podatność CVE-2026-123710?
CVE-2026-123710 to błąd w Red Hat Quay (CWE-1287), który pozwala nieuwierzytelnionemu klientowi zainstalować własny klucz podpisujący i uzyskać odczyt i zapis do dowolnego repozytorium. Ocena CVSS: 9.8.
Czy do wykorzystania CVE-2026-123710 potrzebne jest uwierzytelnienie?
Nie. Atak jest prowadzony zdalnie i nie wymaga uwierzytelnienia ani interakcji użytkownika.
Jak zabezpieczyć się przed CVE-2026-123710?
Zaktualizować Red Hat Quay do wersji z poprawką, usunąć nieznane klucze usług i zweryfikować integralność obrazów.
Kogo dotyczy CVE-2026-123710?
Organizacji korzystających z Red Hat Quay jako rejestru obrazów kontenerów.
