Red Hat, 11 Kasım 2026’da konteyner imajı kayıt defteri Red Hat Quay’de iki açığı kamuya açıkladı. İki açığın önem derecesi de “Kritik”. Kimlik doğrulaması gerektirmeyen CVE-2026-123710 için Red Hat henüz düzeltilmiş bir sürüm listelemedi. Yalnız geçici bir önlem öneriyor. İkinci açık CVE-2026-110697 desteklenen sürümlerde düzeltildi.
Ne oldu
Red Hat’in güvenlik kaydına göre CVE-2026-123710, Quay’in servis anahtarı döndürme uç noktasındaki bir denetim eksikliğinden kaynaklanıyor. Kimliği doğrulanmamış bir istemci, anonim bir kayıt defteri jetonu alıyor ve bu jetonla sisteme kendi imza anahtarını süresiz olarak tanıtabiliyor. Bu anahtarla imzalanan jetonlar her depo için kabul ediliyor. Saldırgan özel imajları okuyabiliyor, imaj yükleyebiliyor ve depo etiketlerini değiştirebiliyor. Açığın CVSS 3.1 taban puanı 9,8.
CVE-2026-110697 ise robot hesaplarının listelendiği işlevdeki bir SQL enjeksiyonu. Ad alanı adındaki alt çizgi karakteri arama kalıbında joker gibi çalışıyor. Kendi ad alanını açabilen bir kullanıcı, başka kiracıların robot hesaplarını ve bu hesapların çözülmüş jetonlarını okuyabiliyor. CVSS taban puanı 9,9. Red Hat iki puanı da ön değerlendirme olarak işaretliyor.
İki açığı da Red Hat’ten Dave O’Connor buldu. Ne Red Hat’in kaydında ne de CVE kayıtlarında istismar bilgisi var. Açıklar CISA’nın Bilinen İstismar Edilen Açıklar (KEV) kataloğunda değil.
Kimleri etkiler
Etkilenen ürünler Red Hat Quay 3 (rhel8 ve rhel9 paketleri) ve Red Hat Quay 5 (yalnız rhel9 paketi). Red Hat’e göre CVE-2026-123710, /keys uç noktasına güvenilmeyen istemcilerin erişebildiği kurulumları etkiliyor. CVE-2026-110697 özellikle birden çok ekibin ya da müşterinin aynı kayıt defterini paylaştığı kurulumlar için risk taşıyor. Red Hat, Quay’in OpenShift’te tümleşik kayıt defteri olarak kullanıldığı ortamlarda çalınan jetonlarla CI/CD hatlarına zararlı imaj sokulabileceği uyarısını yapıyor. Red Hat’in barındırdığı Quay.io hizmeti düzeltildi.
Üretici ne öneriyor
CVE-2026-110697 için Red Hat’in önerisi, kullanılan sürüm koluna göre 3.9.28, 3.10.28, 3.12.24, 3.14.10, 3.15.9, 3.16.7, 3.17.7 ya da 3.18.3 sürümüne geçmek. Hemen güncellenemiyorsa alt çizgili ad alanı açma yetkisi kısıtlanmalı ve çakışan ad alanlarındaki robot jetonları yenilenmeli. Red Hat bu adımların açığı kapatmadığını belirtiyor.
CVE-2026-123710 için Red Hat, /keys uç noktasına erişimi vekil sunucu ya da yük dengeleyicide yalnız güvenilir iç bileşenlerle sınırlamayı öneriyor. Denetim günlüklerinde son kullanma tarihi boş olan service_key_rotate ve service_key_delete olayları incelenmeli. Tanınmayan onaylı servis anahtarları silinmeli. Red Hat’e göre düzeltilmiş sürüm kurulana kadar sahte anahtarı silmek kalıcı çözüm değil.
Önerimiz, Quay kullanan kurumların /keys erişim kısıtlamasını beklemeden uygulaması ve Red Hat’in düzeltilmiş sürüm duyurusunu takip etmesi. Konteyner altyapınızın güvenlik gözden geçirmesi için bize ulaşabilirsiniz.
