Una chiave falsa apre tutti i repository Quay e sopravvive ai reset
Red Hat ha divulgato una falla critica in Quay, CVE-2026-123710, che permette di creare token con accesso in lettura e scrittura a tutti i repository di un registro. Il problema riguarda le installazioni in cui il servizio di gestione delle chiavi è raggiungibile da client non attendibili; può sfruttarlo anche un account Quay valido se l’accesso anonimo è disattivato.
Quay usa le chiavi gestite dal proprio servizio per firmare i token di accesso. La falla consente di sostituire la chiave legittima con una controllata dall’attaccante: il registro accetta così token contraffatti come se avessero permessi validi. Ne possono derivare il furto di immagini private e la sostituzione di immagini scaricate dai sistemi di build e deployment.
La chiave installata può non avere scadenza, sopravvive ai riavvii e non viene revocata cambiando password o rigenerando robot token. Può essere reinstallata finché non viene distribuita una correzione. Red Hat non indica una versione corretta: restano esposte sia le immagini nei repository sia la loro integrità nei sistemi che le consumano.