Red Hat Quayに重大な脆弱性が見つかりました。攻撃者は、影響を受けるレジストリ上の非公開コンテナイメージにアクセスしたり、リポジトリ内のコンテンツを置き換えたりできる恐れがあります。
Red Hat Quayは、コンテナイメージの保存・管理・配布に使われるエンタープライズ向けのコンテナレジストリです。アプリケーションの開発やデプロイで使うイメージを、誰がダウンロードまたはアップロードできるかを組織が制御できます。
この脆弱性は「CVE-2026-123710」として追跡されており、CVSSスコアは9.8です。署名鍵の管理を担うサービスに、信頼できないクライアントがアクセスできる環境が影響を受けます。
Red Hatはセキュリティアドバイザリで、「Red Hat Quayのサービスキーサーバに存在するこの重大な欠陥により、認証されていない攻撃者がレジストリのトークン署名を乗っ取れます」と説明しています。
匿名アクセスが有効な場合、アカウントを持たない攻撃者でもレジストリトークンを取得できます。さらに、鍵ローテーション機構の弱点を突いて、攻撃者自身の署名鍵を信頼された鍵として登録できます。
攻撃者はその後、任意のリポジトリに対する読み取り・書き込み権限を持つトークンを生成し、通常のアクセス制限を回避できます。これにより、非公開イメージや、イメージ内に保存された認証情報などの機密情報が流出する恐れがあります。他のシステムが後からダウンロードするイメージを、攻撃者が上書きすることも可能です。
悪意ある署名鍵は有効期限なしで設定でき、削除しない限りレジストリを再起動しても残り続けます。
Red HatのBugzillaレポートによると、「ローテーションの副作用として正規のインスタンス鍵も削除され、攻撃者の鍵は代わりのインスタンス鍵を削除することもできます」。詳細はBugzillaレポートで説明されています。
その結果、通常のレジストリ運用が妨げられ、正規のユーザーがイメージをアップロードやダウンロードできなくなる可能性があります。
Red Hatは追加のガイダンスで、「匿名アクセスを無効にしても防御にはなりません。有効なQuayアカウントがあれば、誰でもこの欠陥を悪用できるためです」と警告しています。
また同社は、パスワードを変更したりロボットトークンを再生成したりしても、不正な署名鍵は無効にならないと指摘しています。
Red Hatは、鍵管理サービスへのアクセス制限、不審な鍵の変更がないかのログ確認、不正な鍵の削除を推奨しています。ただし、修正が適用されるまでは、攻撃者が悪意ある鍵を再び登録できると警告しています。
この脆弱性は、Red HatのDave O’Connor氏が発見しました。
アドバイザリにもBugzillaレポートにも、修正済みバージョンは記載されていません。ただし、この脆弱性と、Quayのもう1件の欠陥「CVE-2026-110697」に対する修正は、11月11日にプロジェクトのGitHubリポジトリにマージされています。
