Critical Red Hat Quay Flaw Lets Attackers Read and Overwrite All Private Container Images in a Registry
Uma falha crítica (CVE-2026-123710) em Red Hat Quay permite que um cliente não autenticado leia e sobrescreva imagens privadas ao instalar chaves de assinatura de tokens do registry.
Foi descoberta a CVE-2026-123710 em Red Hat Quay: um cliente não autenticado pode obter um token anônimo do serviço de autenticação do registry, usar esse token contra o mecanismo de rotação/instalação de chaves e instalar uma signing key aprovada sem expiry. Chaves instaladas dessa forma passam a assinar tokens aceitos para qualquer repositório, permitindo leitura e escrita de imagens privadas e substituição de tags. Red Hat classifica o problema como crítico (CVSS v3 Base Score 9.8).
Importa para engenheiros sênior porque qualquer deploy onde o endpoint de rotação de chaves seja acessível a clientes não confiáveis está comprometido; remover chaves rogue não é durável até haver um build corrigido. Ação imediata: restringir acesso ao endpoint de rotação de chaves no proxy/load balancer, revisar logs de eventos de rotação/exclusão para entries com expiration_date nulo e remover chaves aprovadas não reconhecidas; preparar atualização para o build corrigido assim que disponível.
Quadrinho 1 de 3
- #cve-2026-123710
- #quay
- #jwt
- #red-hat