ثغرة Red Hat Quay حرجة CVE-2026-123710 تكشف صور الحاويات الخاصة

Quay سجل حاويات (Container Registry) من Red Hat، ويُستخدم أيضاً سجلاً مدمجاً في OpenShift. أعلنت Red Hat ثغرتين حرجتين، وأصدرت نسخاً مصلحة لثمانية فروع من Quay 3.

الثغرة الأولى: CVE-2026-123710 (درجة 9.8)

يستخدم Quay مفاتيح موثوقة لتوقيع توكنات السحب والرفع. والثغرة تسمح للمهاجم بإضافة مفتاحه إلى قائمة المفاتيح الموثوقة دون تاريخ انتهاء، فيقبل Quay بعدها أي توكن يوقّعه المهاجم لأي مستودع. والسبب أن خادم المفاتيح لا يتحقق من أن التوكن صدر لغرض تدوير المفاتيح، فيكفي توكن مجهول من /v2/auth.

النتيجة:

• سحب الصور الخاصة وما فيها من أسرار.
• رفع صور أو استبدالها، فيصل التغيير لكل نظام يسحبها لاحقاً.
• المفتاح المزروع يبقى بعد إعادة التشغيل، ويمكن استخدامه لحذف مفاتيح Quay الأصلية فيتعطل السحب والرفع.

والوصول المجهول مفعّل افتراضياً، وحتى مع تعطيله يكفي أي حساب صالح.

الثغرة الثانية: CVE-2026-110697 (درجة 9.9)

تسمح لمستخدم يستطيع إنشاء namespace بسرقة توكنات robot accounts الخاصة بعملاء آخرين. والسبب أن الكود يبني نمط SQL LIKE من اسم الـ namespace دون تهريب الرموز، فالشرطة السفلية تطابق أي حرف.

ماذا تفعل؟

1. ثبّت النسخة المصلحة فوراً. فحذف المفتاح المزروع وحده لا يكفي، لأن المهاجم يستطيع إضافته من جديد.
2. بعد التحديث راجع قائمة المفاتيح الموثوقة، واحذف أي مفتاح غير معروف.
3. غيّر توكنات robot accounts وأي أسرار مخزنة داخل الصور.
4. خدمة Quay.io السحابية مصلحة أصلاً.