Amenaza directa a la infraestructura de contenedores
La plataforma Red Hat Quay, un registro de contenedores (Container Registry) diseñado para empresas, se enfrenta a una amenaza de seguridad crítica que podría permitir a los atacantes el acceso no autorizado a imágenes de contenedores privados y la sustitución del contenido de los repositorios a través del registro afectado. La vulnerabilidad, identificada bajo el identificador CVE-2026-123710, registró una puntuación de gravedad de 9.8 según la escala CVSS, lo que la sitúa en la categoría de amenazas de alto riesgo que requieren una respuesta inmediata.
La vulnerabilidad, descubierta por Dave O’Connor de Red Hat, afecta al servicio responsable de la gestión de claves de firma (Service Key Server). Si el acceso a este servicio está disponible para clientes no confiables, los atacantes podrían explotar un fallo en el mecanismo de rotación de claves (Key Rotation) para implantar su propia clave de firma dentro del sistema, otorgándoles el control total sobre el proceso de firma de tokens (Token Signing) del registro.
Evasión de restricciones de acceso y control total
Una vez que el atacante logra instalar su clave de firma, puede crear tokens que le otorgan permisos de lectura y escritura en cualquier repositorio dentro del registro, eludiendo todas las restricciones de acceso habituales. Esto abre la puerta a escenarios técnicos peligrosos que incluyen:
- Filtración de datos sensibles: Revelación de imágenes de contenedores privados y de las credenciales (Credentials) o secretos técnicos (Secrets) que puedan estar almacenados en su interior.
- Sabotaje de repositorios: Capacidad para reemplazar las imágenes originales por otras maliciosas, lo que significa que los sistemas que dependen de estos repositorios descargarán automáticamente software infectado.
- Interrupción de operaciones: El proceso de rotación de claves maliciosas puede tener como efecto secundario la eliminación de las claves originales, impidiendo que los usuarios legítimos suban o descarguen imágenes.
¿Por qué representa esta amenaza un peligro excepcional?
Red Hat ha explicado que esta vulnerabilidad difiere de las vulnerabilidades tradicionales por varias razones que hacen que su resolución y la protección del sistema contra ella sean complejas:
- Alta persistencia: La clave maliciosa puede configurarse para funcionar sin fecha de vencimiento y permanece activa incluso después de reiniciar el servicio del registro, a menos que se elimine manualmente.
- Fallo de las soluciones tradicionales: La empresa advirtió que desactivar el "acceso anónimo" (Anonymous Access) no protegerá a las organizaciones, ya que cualquier usuario con una cuenta válida en Quay puede explotar esta vulnerabilidad. Asimismo, cambiar las contraseñas o renovar los tokens de robot (Robot Tokens) no invalidará la clave de firma implantada por el atacante.
Medidas recomendadas
Hasta que se implementen completamente los parches, Red Hat recomienda restringir el acceso al servicio de gestión de claves, revisar minuciosamente los registros del sistema (Logs) en busca de cualquier cambio no autorizado en las claves y actuar de inmediato para eliminar cualquier clave sospechosa. Se han integrado correcciones para esta vulnerabilidad y otra (CVE-2026-110697) en el repositorio de GitHub del proyecto el 11 de noviembre.