Red Hat Quay’de Kritik Güvenlik Açıkları: Özel Konteyner Görüntüleri Tehdit Altında

Red Hat Quay’de Kritik Güvenlik Açıkları: Özel Konteyner Görüntüleri Tehdit Altında

Red Hat Quay’de tespit edilen iki kritik güvenlik açığı, saldırganların Quay kayıt defterlerine erişim sağlayarak özel konteyner görüntülerini okumasına ve üzerine yazmasına olanak tanıyor. Bu açıklar, bulut güvenliği ve konteyner yönetimi alanında önemli riskler oluşturuyor.

CVE-2026-123710: Yetkisiz Anahtar Ekleme ve Görüntü Manipülasyonu

İlk kritik güvenlik açığı, CVE-2026-123710 (CVSS puanı: 9.8) olarak izleniyor. Bu açık, saldırganların Quay’in erişim belirteçlerini imzalamak için güvendiği anahtarlara kendi anahtarlarını eklemesine izin veriyor. Eklenen bu anahtarların son kullanma tarihi olmaması, Quay’in bu anahtarlarla imzalanmış belirteçleri herhangi bir depo için kabul etmesine neden oluyor.

Saldırganlar, bu belirteçleri kullanarak özel görüntüleri ve içlerinde depolanan sırları veya kimlik bilgilerini ele geçirebilir. Ayrıca, görüntülerin üzerine yazabilir veya yeni görüntüler yükleyebilirler. Bu değişiklikler, daha sonra bu görüntüleri çeken her sisteme yayılır. Eklenen anahtar, sistem yeniden başlatmalarından sonra bile kalıcı olur. Ayrıca, Quay örneklerinin kullandığı anahtarları silmek için de kullanılabilir. Bu durum, normal itme ve çekme işlemlerinin kimlik doğrulama hatalarıyla başarısız olmasına yol açar.

Red Hat, dün yaptığı açıklamada, Quay’in varsayılan olarak anonim erişime izin verdiğini ve bu durumda saldırganın bir hesaba ihtiyacı olmadığını belirtti. Anonim erişim kapalı olduğunda bile, geçerli bir hesabı olan herkes bu açıktan faydalanabilir. Şirket, sekiz Quay 3 dalı için düzeltilmiş yapılar yayınladı.

Bu güvenlik açığının mantığı, Quay’in ilk genel taahhüdünden beri var olduğu hata raporunda belirtiliyor. Red Hat, Quay 3 ve Quay 5’in tüm sürümlerinin bu açıktan etkilendiğini listeliyor. Şirket, güvenilmeyen istemcilerin erişebileceği tüm Quay örneklerinin, dahili kayıt defterleri de dahil olmak üzere, bu riske maruz kaldığını vurguluyor.

CVE-2026-110697: Robot Hesap Belirteçlerinin Çalınması

Aynı anda açıklanan ikinci kritik güvenlik açığı ise CVE-2026-110697 (CVSS puanı: 9.9) olarak belirlendi. Bu açık, bir ad alanı oluşturabilen bir Quay kullanıcısının, diğer kiracıların robot hesap belirteçlerini çalarak bu kiracıların görüntülerini okumasına, yüklemesine veya üzerine yazmasına olanak tanıyor.

Bu açık, robot hesaplarını listeleyen kodda bulunuyor. Kod, ad alanı adından joker karakterleri kaçırmadan bir SQL LIKE deseni oluşturuyor. SQL LIKE’da alt çizgi herhangi bir tek karakterle eşleşiyor. Bu durum, doğru yerde alt çizgi içeren bir ad alanının başka bir kiracının ad alanıyla eşleşmesine ve şifresi çözülmüş belirteçleriyle birlikte robot hesaplarını döndürmesine neden olabilir. Saldırganın yükseltilmiş ayrıcalıklara ihtiyacı yoktur ve kurbanın herhangi bir işlem yapması gerekmez.

Saldırganın ad alanını silmesi, ilgili robot hesaplarını da siler. Bu da onlara dayanan sistemleri devre dışı bırakabilir. Quay’in OpenShift için entegre bir kayıt defteri olduğu durumlarda, çalınan robot kimlik bilgileri CI/CD işlem hatlarına kötü amaçlı görüntülerin enjekte edilmesi için kullanılabilir.

Önerilen Önlemler ve Düzeltmeler

Red Hat’in Dave O’Connor tarafından bulunan bu iki güvenlik açığı için şirket, aşağıdaki adımları öneriyor:

1. Proxy veya yük dengeleyicide, /keys uç noktasını güvenilir dahili bileşenler dışındaki her şey için engelleyin.
2. Denetim günlüklerinde, expiration_date‘in boş olduğu service_key_rotate ve service_key_delete olaylarını arayın.
3. Tanımadığınız onaylanmış hizmet anahtarlarını kaldırın.
4. Düzeltilmiş sürümü yükleyin. Düzeltme çalışana kadar, bir saldırgan aynı şekilde yeni bir anahtar ekleyebilir. Bu nedenle, bir anahtarı silmek kalıcı bir çözüm değildir.

Şirket, ana düzeltme makalesinde “Anonim erişimi kapatmak sizi korumaz” diyor. Eklenen bir anahtar, parola sıfırlamalarından ve robot belirteci değişikliklerinden sonra da çalışmaya devam eder.

CVE-2026-110697 için Red Hat’in CVE sayfası, aynı sekiz sürümü düzeltilmiş olarak adlandırıyor. Güncellemenin tek tam düzeltme olduğunu belirtiyor ve Quay.io’nun zaten düzeltildiğini söylüyor. Ancak, sekiz danışmanlığın hiçbiri CVE-2026-110697’yi listelemiyor.

Güncelleme yapılana kadar şirket, alt çizgi içeren kuruluşlar veya ad alanları oluşturabilecek kişileri sınırlamayı, alt çizgi ad alanıyla eşleşen herhangi bir ad alanı için robot belirteçlerini döndürmeyi ve normal robot kullanımına uymayan çekme veya itme işlemlerini izlemeyi öneriyor. Bu adımlar riski azaltır, ancak açık devam eder.

Yukarı akış düzeltmesi, eksik döndürme kontrolünü ekliyor. Anahtar sunucusu aracılığıyla eklenen anahtarların bir son kullanma tarihine sahip olmasını gerektiriyor ve arayanların bir belirtecin hedef kitlesini seçmesini engelliyor. Aynı değişiklik, robot hesap aramasını da düzeltiyor.