컨테이너 인프라에 대한 직접적인 위협
기업용 컨테이너 레지스트리(Container Registry)인 Red Hat Quay 플랫폼은 공격자가 취약한 레지스트리를 통해 프라이빗 컨테이너 이미지에 무단으로 접근하고 저장소의 콘텐츠를 교체할 수 있게 하는 심각한 보안 위협에 직면해 있습니다. CVE-2026-123710으로 추적되는 이 취약점은 CVSS 척도에 따라 9.8의 위험 점수를 기록하여 즉각적인 대응이 필요한 고위험 위협 범주로 분류되었습니다.
Red Hat의 데이브 오코너(Dave O’Connor)가 발견한 이 취약점은 서명 키 관리(Service Key Server)를 담당하는 서비스를 대상으로 합니다. 만약 신뢰할 수 없는 클라이언트가 이 서비스에 접근할 수 있다면, 공격자는 키 로테이션(Key Rotation) 메커니즘의 결함을 악용하여 시스템 내에 자신만의 서명 키를 심을 수 있으며, 이를 통해 레지스트리의 토큰 서명(Token Signing) 프로세스에 대한 완전한 제어권을 획득할 수 있습니다.
액세스 제한 우회 및 완전한 제어
공격자가 자신의 서명 키를 설치하는 데 성공하면, 일반적인 모든 액세스 제한을 우회하여 레지스트리 내의 모든 저장소에 대해 읽기 및 쓰기 권한을 부여하는 토큰(Tokens)을 생성할 수 있게 됩니다. 이는 다음과 같은 심각한 기술적 시나리오로 이어질 수 있습니다:
- 민감 데이터 유출: 프라이빗 컨테이너 이미지와 그 안에 저장된 자격 증명(Credentials) 또는 기술적 비밀(Secrets)이 노출될 수 있습니다.
- 저장소 파괴: 원본 이미지를 악성 이미지로 교체할 수 있으며, 이는 해당 저장소에 의존하는 시스템이 자동으로 악성 소프트웨어를 다운로드하게 됨을 의미합니다.
- 운영 중단: 악의적인 키 로테이션 프로세스는 부작용으로 원본 키를 삭제하여 정당한 사용자가 이미지를 업로드하거나 다운로드하는 것을 방해할 수 있습니다.
왜 이 위협이 예외적으로 위험한가?
Red Hat은 이 취약점이 다음과 같은 몇 가지 이유로 인해 기존의 취약점과는 다르며, 이를 해결하고 시스템을 보호하는 것을 복잡하게 만든다고 설명했습니다:
- 높은 지속성: 악성 키는 만료 날짜 없이 작동하도록 설정될 수 있으며, 수동으로 삭제하지 않는 한 레지스트리 서비스를 재시작한 후에도 유효하게 유지됩니다.
- 기존 솔루션의 한계: 회사는 "익명 액세스"(Anonymous Access)를 차단하는 것만으로는 기업을 보호할 수 없다고 경고했습니다. Quay에서 유효한 계정을 가진 사용자라면 누구나 이 취약점을 악용할 수 있기 때문입니다. 또한 비밀번호를 변경하거나 로봇 토큰(Robot Tokens)을 갱신하더라도 공격자가 설치한 서명 키를 무효화할 수 없습니다.
권장 조치 사항
패치가 완전히 배포될 때까지 Red Hat은 키 관리 서비스에 대한 액세스를 제한하고, 키에 대한 승인되지 않은 변경 사항이 있는지 시스템 로그(Logs)를 철저히 검토하며, 의심스러운 키가 발견되면 즉시 제거할 것을 권장합니다. 이 취약점과 또 다른 취약점(CVE-2026-110697)에 대한 수정 사항은 11월 11일에 프로젝트의 GitHub 저장소에 통합되었습니다.