Red Hat Quay: útočník si může podstrčit vlastní podpisový klíč a číst i přepisovat soukromé obrazy kontejnerů

Co se stalo

Red Hat zveřejnil 11. listopadu 2026 dvě kritické zranitelnosti v Red Hat Quay, registru obrazů kontejnerů, který firmy provozují samostatně, na OpenShiftu (Quay Operator) nebo jako mirror registry for Red Hat OpenShift pro odpojené instalace. Obě chyby našel Dave O'Connor z Red Hatu.

• CVE-2026-123710 – převzetí podpisového klíče registru bez přihlášení, CVSS 3.1 9,8 (CWE-1287). Útočník si vydává tokeny k libovolnému repozitáři: čte soukromé obrazy a nahrazuje tagy.
• CVE-2026-110697 – únik tokenů robotických účtů mezi organizacemi přes neošetřený vzor SQL LIKE, CVSS 3.1 9,9 (CWE-89). Vyžaduje účet s právem založit organizaci.

U CVE-2026-123710 Red Hat k 12. 11. opravené sestavení neuvádí (stav „Affected“, záznam v Bugzille otevřený) a doporučuje dočasná opatření. Obě chyby přitom opravuje stejná změna ve zdrojovém kódu Quay na GitHubu.

Technické podrobnosti

CVE-2026-123710 – rotace servisních klíčů. Quay podepisuje tokeny registru servisními klíči a spravuje je přes koncový bod /keys (keyserver). Podle Red Hatu tento bod ověřuje jen to, že token volajícího podepsal už schválený klíč a že sedí cílová skupina (audience) a vydavatel. Neověřuje, že jde o token určený k rotaci klíčů. Projde tak i anonymní token, který si kdokoli vyžádá přes /v2/auth – a cílovou skupinu si v něm klient mohl zvolit sám. Nainstalovaný klíč zdědí schválení a může být bez expirace. Tokeny podepsané tímto klíčem pak Quay přijme pro jakýkoli repozitář.

Oprava podle změny v repozitáři quay/quay: cílová skupina tokenu se bere z nastavení serveru, ne z požadavku; rotace vyžaduje speciální údaj vázaný na konkrétní klíč; tokeny s přístupovými právy se k rotaci odmítají; expirace je povinná a nesmí přesáhnout expiraci podepisujícího klíče; služba smí měnit jen své klíče.

CVE-2026-110697 – výpis robotů. Funkce, která vypisuje robotické účty organizace, skládá vzor SQL LIKE z názvu organizace bez ošetření zástupných znaků. Podtržítko v LIKE znamená „libovolný znak“, takže organizace ab_c odpovídá i cizí organizaci abxc. Útočník tak získá cizí roboty i jejich dešifrované tokeny – a s nimi čtení, nahrávání a přepis obrazů. Red Hat upozorňuje na riziko pro CI/CD a dodavatelský řetězec kontejnerů.

Ukázkový kód Red Hat nezveřejnil a my postup útoku nepopisujeme.

Koho se to týká

Podle Red Hatu se CVE-2026-123710 týká samostatných instalací (Podman, Docker), Quay nasazeného operátorem na OpenShiftu, mirror registry for Red Hat OpenShift a každé instance, na kterou dosáhnou nedůvěryhodní klienti – i ve vnitřní síti. Vypnutý anonymní přístup nechrání: s ním chybu zneužije kdokoli s platným účtem.

Jak poznat napadení

Red Hat doporučuje:

• V auditním logu Quay hledejte události service_key_rotate a service_key_delete, u kterých je expirace prázdná (expiration_date null).
• Zkontrolujte seznam schválených servisních klíčů a hledejte neznámé nebo bez expirace.
• Podezřelé příznaky podle Red Hatu: nahrávání nebo stahování obrazů najednou selhává s „authentication required“ či „unauthorized“, přestože se přihlašovací údaje neměnily.

K tomu z praxe: porovnejte digesty produkčních tagů s tím, co sestavila vaše CI, a projděte přístupy na /keys a /v2/auth v logu proxy. Adresy z logu vytáhnete naším extraktorem IOC – běží jen ve vašem prohlížeči. U CVE-2026-110697 hledejte organizace s podtržítkem v názvu, jejichž název se po záměně podtržítka za libovolný znak shoduje s jinou organizací.

Co udělat

1. Hned zablokujte /keys na proxy nebo load balanceru – povolte ho jen vnitřním komponentám, které klíče skutečně rotují (doporučení Red Hatu).
2. Projděte auditní log a smažte neznámé schválené klíče. Pozor: smazání není trvalé, dokud neběží opravené sestavení – bez bodu 1 si útočník klíč nainstaluje znovu. Změna hesel ani nové tokeny robotů podvržený klíč nezruší.
3. Aktualizujte Quay 3 na opravenou verzi své větve (3.9.28 až 3.18.3, viz tabulka). Ty podle Red Hatu opravují CVE-2026-110697. Zda obsahují i opravu CVE-2026-123710, ověřte v poznámkách k vydání nebo na stránce CVE – k 12. 11. ji Red Hat neuvádí, opatření z bodu 1 nechte platit, dokud ji nepotvrdí.
4. Do aktualizace omezte, kdo smí zakládat organizace s podtržítkem v názvu, a obnovte tokeny robotů u organizací, jejichž názvy se mohou překrývat (Red Hat).
5. Pokud najdete podvržený klíč, považujte obrazy v registru za nedůvěryhodné: ověřte digesty a podpisy (např. cosign) proti výstupu CI a znovu sestavte, co nesedí.

Skóre si můžete rozebrat v CVSS kalkulačce.

Časová osa

Aktualizace

• 12. 11. 2026 – první verze článku.