Red Hat חושפת שתי פגיעויות קריטיות ברג'יסטרי Quay. הראשונה מאפשרת לתוקף עם גישת רשת לקרוא ולדרוס imageים פרטיים בכל המאגרים, והשנייה מאפשרת למשתמש שיכול ליצור namespace לגנוב טוקנים של חשבונות robot של דיירים אחרים.
| מזהים | CVE-2026-123710, CVE-2026-110697 |
| מוצר מושפע | כל גרסאות Quay 3 ו-Quay 5 לפי Red Hat: התקנה עצמאית, Quay Operator ב-OpenShift ו-mirror registry |
| חומרה | 9.8 ו-9.9 |
| מנוצל בפועל | לא פורסם |
| תיקון | פורסמו גרסאות מתוקנות לשמונה ענפי Quay 3; ל-CVE-2026-110697 מיפוי התיקון לא ברור |
מה קרה
ב-CVE-2026-123710 שרת המפתחות מקבל בקשת החלפת מפתח כל עוד הטוקן חתום על ידי מפתח מהימן, בלי לוודא שהוא הונפק לצורך רוטציה. טוקן אנונימי מ-/v2/auth מספיק, והתוקף בוחר את ה-audience ומוסיף מפתח משלו ללא תפוגה. המפתח שורד הפעלה מחדש ואיפוס סיסמאות. לדברי Red Hat, כיבוי הגישה האנונימית לא מגן, כי כל חשבון תקף מספיק.
ב-CVE-2026-110697 חיפוש חשבונות robot בונה תבנית SQL LIKE משם ה-namespace בלי לברוח מתווים כלליים. קו תחתון מתאים לכל תו, ולכן namespace מתוחכם יכול להתאים לדייר אחר ולהחזיר את הטוקנים המפוענחים שלו. שתי הפגיעויות התגלו על ידי חוקר של Red Hat.
נקודות לשים לב
- התקן את הגרסה המתוקנת ל-Quay שלך. עד אז חסום את הנתיב
/keysב-proxy או ב-load balancer, למעט רכיבים פנימיים מהימנים. - חפש ביומני הביקורת אירועי
service_key_rotateו-service_key_deleteעםexpiration_dateריק, והסר מפתחות שירות לא מוכרים. מחיקה לבדה לא מספיקה כל עוד לא תוקן, כי אפשר להוסיף מפתח מחדש. - ל-CVE-2026-110697: הגבל מי יכול ליצור namespaces עם קו תחתון, וסובב טוקנים של robot accounts בכל namespace כזה.
- ב-OpenShift עם Quay כרג'יסטרי משולב, טוקן גנוב עלול לשמש להחדרת imageים זדוניים ל-CI/CD. בדוק משיכות ודחיפות חריגות.
מקורות: The Hacker News · Red Hat — CVE-2026-123710 · Red Hat — CVE-2026-110697
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
