Red Hat Quay'de iki kritik açık: birinde giriş yapmadan imzalama anahtarı eklenebiliyor

Red Hat, 11 Kasım’da konteyner imajlarının saklandığı ve dağıtıldığı kayıt defteri yazılımı Quay’deki iki açığı kamuya duyurdu. Red Hat iki açığı da kritik olarak derecelendirdi. Red Hat’in kayıtlarına göre ikisini de şirketten Dave O’Connor buldu.

CVE-2026-123710: giriş yapmadan imzalama anahtarı ekleme

Red Hat’in tanımına göre kimliği doğrulanmamış bir istemci, hedef kitlesini (audience) kendisinin belirlediği anonim bir kayıt defteri anahtarı (token) alabiliyor, bu anahtarı servis anahtarı yenileme (service key rotation) uç noktasına sunabiliyor ve süresi dolmayan, onaylı kendi imzalama anahtarını sisteme ekleyebiliyor. Bu anahtarla imzalanan kayıt defteri anahtarları bütün depolar için kabul ediliyor. Böylece saldırgan özel imajları okuyup yazabiliyor ve depo etiketlerini (tag) değiştirebiliyor.

Red Hat’in açıklamasına göre sorun, anahtar yenileme işleminin çağıranı yalnızca sunduğu JWT’nin onaylı bir servis anahtarıyla imzalanmış olmasına ve beklenen hedef kitle ile yayımcıyı taşımasına bakarak doğrulamasından, anahtarın gerçekten bir yenileme kimlik bilgisi olup olmadığını denetlememesinden kaynaklanıyor. /v2/auth uç noktasının verdiği anonim bir anahtar bu denetimi geçiyor. Red Hat, /keys uç noktasına güvenilmeyen istemcilerin erişebildiği kurulumların etkilendiğini belirtiyor.

Açığın CVSS 3.1 puanı 9.8. Açık Red Hat’e 6 Kasım’da bildirildi.

Düzeltme durumu: Red Hat açığı 11 Kasım tarihli güvenlik güncellemeleriyle (errata) Red Hat Quay’in 3.9, 3.10, 3.12, 3.14, 3.15, 3.16, 3.17 ve 3.18 dallarında kapattı. Düzeltilmiş sürümler 3.9.28, 3.10.28, 3.12.24, 3.14.10, 3.15.9, 3.16.7, 3.17.7 ve 3.18.3. Red Hat’in kaydında Red Hat Quay 5 hâlâ etkilenen olarak gösteriliyor. Hemen güncelleme yapamayanlar için şirket şu geçici önlemleri veriyor:

• /keys uç noktasına erişimi vekil sunucuda (proxy) ya da yük dengeleyicide, yalnızca güvenilen iç bileşenlerin ulaşabileceği şekilde sınırlandırın.
• Denetim kayıtlarında son kullanma tarihi boş olan service_key_rotate ve service_key_delete olaylarını inceleyin ve tanımadığınız onaylı servis anahtarlarını kaldırın.

Red Hat, sahte bir anahtarı silmenin düzeltilmiş sürüm kurulana kadar kalıcı bir çözüm olmadığını, çünkü anonim isteğin yeni bir anahtar ekleyebildiğini not ediyor.

CVE-2026-110697: başka kiracıların robot hesap anahtarlarının çalınması

Red Hat’in tanımına göre Quay’in robot hesaplarını listeleyen işlevi, kullanıcının belirlediği ad alanı (namespace) adından bir SQL LIKE kalıbı oluştururken joker karakterleri etkisizleştirmiyor. Adında alt çizgi bulunan bir ad alanı oluşturan saldırgan, başka kiracıların ad alanlarındaki robot hesaplarla eşleşme sağlayıp bu hesapları ve şifresi çözülmüş kimlik doğrulama anahtarlarını elde edebiliyor. Red Hat’e göre saldırgan çaldığı anahtarlarla o kiracının konteyner imajlarını okuyabiliyor, gönderebiliyor ya da üzerine yazabiliyor.

Açığın CVSS 3.1 puanı 9.9. Puanlamaya göre saldırganın düşük yetkili bir hesabının olması gerekiyor. Red Hat, açığın birden çok kiracının paylaştığı Quay kurulumlarında kiracı yalıtımını bozduğunu, Quay’in tümleşik kayıt defteri olarak kullanıldığı OpenShift ortamlarında çalınan robot kimlik bilgileriyle CI/CD hatlarına zararlı imaj sokulabileceğini belirtiyor. Açık Red Hat’e 14 Ekim’de bildirildi.

Düzeltme durumu: CVE kaydına göre düzeltilmiş Red Hat Quay sürümleri 3.9.28, 3.10.28, 3.12.24, 3.14.10, 3.15.9, 3.16.7, 3.17.7 ve 3.18.3. Kayıt, Red Hat’in Quay.io’yu düzelttiğini ve güncelleme dışında tam bir geçici çözüm olmadığını belirtiyor. Red Hat bu sürümleri 11 Kasım tarihli güvenlik güncellemeleriyle yayımladı. Red Hat Quay 5 ise Red Hat’in kaydında hâlâ etkilenen olarak gösteriliyor. Hemen güncelleme yapamayanlar için kayıtta şu adımlar öneriliyor:

• Adında alt çizgi bulunan kuruluş ya da ad alanı oluşturabilecek kişileri sınırlandırın.
• Alt çizgi içeren bir ad alanıyla çakışan ad alanlarının robot anahtarlarını yenileyin.
• Kayıt defterinde beklenen robot kullanımına uymayan imaj çekme ve gönderme işlemlerini izleyin.

Kayıt, bu adımların riski azalttığını ama açığı gidermediğini belirtiyor.

Önerilen önlemler

Red Hat Quay’i kendi altyapısında çalıştıran kurumların kendi dalına uygun düzeltilmiş sürüme geçmesi gerekiyor. Güncelleme tamamlanana kadar /keys uç noktasının dışarıdan erişilebilir olup olmadığı kontrol edilip erişim sınırlandırılmalı ve denetim kayıtlarında tanınmayan onaylı servis anahtarları aranmalı.