Red Hat Quay’de bulunan iki kritik güvenlik açığı, saldırganların kayıt defterindeki özel container imajlarını okumasına, üzerine yazmasına ve bazı durumlarda başka kiracıların robot hesap belirteçlerini ele geçirmesine izin veriyor. Red Hat, iki açık için de düzeltme yayımladığını duyurdu; etkilenen sürümler Quay 3 ve Quay 5 serilerindeki birçok kurulumu kapsıyor.
İlk açık CVE-2026-123710 olarak izleniyor ve CVSS puanı 9.8. Bu açık, Quay’e erişebilen bir saldırganın kayıt defterinin güvendiği imzalama anahtarları arasına kendi anahtarını eklemesine imkân tanıyor. Quay anonim erişimi varsayılan olarak açık bırakıyorsa saldırganın hesaba bile ihtiyacı olmuyor; bu ayar kapalı olsa bile geçerli bir Quay hesabı yeterli olabiliyor. Red Hat, düzeltme yayımladığını ve Quay 3 dallarının sekizi için fixed build sağladığını açıkladı.
Red Hat’in aktardığı zincirde Quay, erişim belirteçlerini imzalamak için güvendiği anahtarları kullanıyor. Saldırganın yaptığı şey, anahtar sunucusuna kendi anahtarını kabul ettirmek ve bunu son kullanma tarihi olmadan sisteme yerleştirmek. Böylece Quay, o anahtarla imzalanmış token’ları herhangi bir depo için geçerli sayıyor. Sistem, istekle gelen token’ın gerçekten anahtar döndürme amacıyla mı üretildiğini denetlemiyor; yalnızca geçerli bir anahtarla imzalanmış olmasına, beklenen audience ve issuer alanlarını taşımasına bakıyor. Bu yüzden Quay’in /v2/auth uç noktasından alınan anonim token bu kontrolü geçebiliyor ve saldırganın seçtiği audience ile birlikte anahtar değiştirme isteği olarak kullanılabiliyor.
Anahtar kabul edildiğinde Quay bunu hemen güvenilir sayıyor. Böylece saldırgan, herhangi bir depodaki özel imajları çekebiliyor, içlerindeki sırları ya da kimlik bilgilerini okuyabiliyor, imajları push ederek üzerine yazabiliyor. Değişiklik sonradan bu imajları çeken tüm sistemlere de yayılıyor. Yerleştirilen anahtar yeniden başlatmalardan sonra da kalıyor; biri manuel olarak silene kadar sistemde yaşamaya devam ediyor. Aynı anahtar, çalışan Quay örneklerinin kullandığı meşru anahtarları da silebildiği için normal push ve pull işlemleri kimlik doğrulama hatalarına düşebiliyor.
Red Hat, bu açıklığın Quay’in ilk herkese açık kod tesliminden beri var olduğuna işaret etti. Bug report’ta, ilgili mantığın ürünün en başından beri kod tabanında bulunduğu belirtildi. Şirkete göre erişilebilir durumda olan her Quay örneği risk altında; buna dahili kayıt defterleri de dahil. Standalone kurulumlar, OpenShift üzerindeki Quay Operator dağıtımları ve Red Hat OpenShift için mirror registry de etkilenen yapılandırmalar arasında sayılıyor.
Şirket, /keys uç noktasına proxy ya da load balancer katmanında yalnızca güvenilir iç bileşenlerin erişebilmesini öneriyor. Denetim günlüklerinde expiration_date alanı boş olan service_key_rotate ve service_key_delete kayıtlarının aranması, tanınmayan onaylı servis anahtarlarının kaldırılması ve yamalı sürümün kurulması da tavsiyeler arasında. Red Hat, yamalı sürüm çalışmıyorken bir saldırganın aynı yöntemle yeni bir anahtar ekleyebileceğini, bu yüzden tek tek anahtar silmenin kalıcı bir çözüm olmadığını vurguluyor. Şirket ayrıca anonim erişimi kapatmanın yeterli koruma sağlamadığını, çünkü geçerli bir kullanıcı hesabının da açığı kullanabildiğini belirtiyor. Parola sıfırlamaları ve robot token yenilemeleri de yerleştirilmiş yetkisiz anahtarı geri çekmiyor.
İkinci açık kiracı ayrımını zedeliyor
Red Hat’in aynı anda duyurduğu ikinci kritik açık CVE-2026-110697 ve onun da CVSS puanı 9.9. Bu kez sorun, namespace adlarından SQL LIKE deseni oluşturulurken joker karakterlerin kaçırılmaması. Bir kullanıcı alt çizgi içeren bir namespace oluşturduğunda, bu karakter SQL LIKE içinde tek bir karakterle eşleşen joker olarak davranabiliyor ve başka bir kiracının namespace’ini yakalayabiliyor.
Bu eşleşme gerçekleştiğinde Quay, hedef kiracının robot hesaplarını ve bunlara ait şifre çözülmüş belirteçleri döndürebiliyor. Saldırganın yüksek ayrıcalıklara sahip olması gerekmiyor; kurbanın da herhangi bir işlem yapmasına ihtiyaç yok. Ele geçirilen robot token’lar, o kiracının imajlarını okumak, push etmek ya da üzerine yazmak için kullanılabiliyor. Red Hat, OpenShift ortamlarında Quay’in entegre kayıt defteri olarak kullanıldığı durumlarda çalınan robot kimlik bilgilerinin CI/CD hatlarına kötü amaçlı imajlar sokmak için kullanılabileceğini de not etti.
Şirkete göre bu açık da Quay’in çok kiracılı kullanım senaryolarında, özellikle ekiplerin veya farklı müşteri organizasyonlarının aynı kayıt defterini paylaştığı kurulumlarda etkili. Saldırganın namespace’i silinirse buna bağlı robot hesaplar da siliniyor; bu da o hesaplara bağımlı sistemlerin erişimini kesebiliyor. Red Hat, Quay.io tarafının zaten yamalı olduğunu belirtti, ancak yerel kurulumlar için 3.9.28, 3.10.28, 3.12.24, 3.14.10, 3.15.9, 3.16.7, 3.17.7 ve 3.18.3 sürümlerini işaret ediyor.
Güncelleme hemen uygulanamıyorsa, organizasyon veya namespace adı içinde alt çizgi barındıran alanların kimler tarafından oluşturulabileceğinin sınırlandırılması, bu desenle çakışan namespace’lere ait robot token’ların döndürülmesi ve olağan robot kullanımına uymayan pull ya da push hareketlerinin izlenmesi öneriliyor. Red Hat’in ifadesine göre bunlar yalnızca maruziyeti azaltıyor; açığı kapatmıyor. Şirketin yayımladığı düzeltme, eksik döndürme kontrolünü ekliyor, anahtar sunucusu üzerinden eklenen anahtarlara zorunlu son kullanma tarihi getiriyor ve istemcinin token audience’ını seçmesini engelliyor. Aynı değişiklik robot hesap arama mantığını da düzeltiyor.
Red Hat’in güvenlik duyurularına göre her iki açık da Quay 3 ve Quay 5 serilerindeki farklı sürümleri etkiliyor. CVE-2026-123710 için yamalı sürümler 3.9.28, 3.10.28, 3.12.24, 3.14.10, 3.15.9, 3.16.7, 3.17.7 ve 3.18.3 olarak listeleniyor. Şirketin CVE sayfası, /keys uç noktasının güvenilmeyen istemcilere açık olduğu her dağıtımın risk altında olduğunu vurguluyor. Red Hat ayrıca bugün bakıldığında CVE-2026-123710 kaydında hâlâ tüm Quay paketlerinin etkilenen olarak göründüğünü, buna rağmen her duyuruda bu açığın listelendiğini belirtti.
CVE-2026-110697 için şirketin CVE sayfası aynı sekiz sürümü fixed olarak gösteriyor, güncellemenin tek eksiksiz çözüm olduğunu söylüyor ve Quay.io’nun zaten düzeltilmiş olduğunu aktarıyor. Buna karşın sekiz duyurunun hiçbiri CVE-2026-110697’i listelemiyor. Red Hat, bu açık için de güncelleme yüklenene kadar organizasyon veya namespace içinde alt çizgi taşıyan adların oluşturulmasının sınırlandırılmasını, alt çizgiyle eşleşen namespace’lere ait robot token’ların döndürülmesini ve normal robot kullanımıyla örtüşmeyen push ya da pull hareketlerinin izlenmesini öneriyor. Şirket, bu adımların yalnızca maruziyeti azalttığını, açığı ortadan kaldırmadığını söylüyor.
Red Hat Dave O’Connor’ın her iki açığı da bulduğunu açıkladı. CVE-2026-123710’a ilişkin bug report, mantığın Quay’in ilk herkese açık commit’inden bu yana üründe bulunduğunu gösteriyor. Upstream fix ise eksik rotation kontrolünü ekliyor, key server üzerinden eklenen anahtarların expiry date taşımasını zorunlu kılıyor ve caller’ın token audience seçmesini engelliyor. Aynı değişiklik robot account aramasındaki hatayı da kapatıyor.
Kaynaklar
- 2568072 – (CVE-2026-123710) CVE-2026-123710 quay: Red Hat Quay: unauthenticated registry signing-key takeover via service key rotation (bugzilla.redhat.com)
- CVE-2026-123710 – Red Hat Customer Portal (access.redhat.com)
- CVE-2026-123710 Identifying and remediating unauthorized signing keys in Red Hat Quay – Red Hat Customer Portal (access.redhat.com)
- CVE-2026-110697 – Red Hat Customer Portal (access.redhat.com)