Konteyner Altyapısı İçin Doğrudan Tehdit
Kurumsal düzeyde bir konteyner kaydı (Container Registry) olan Red Hat Quay platformu, saldırganların etkilenen kayıt üzerinden özel konteyner imajlarına yetkisiz erişim sağlamasına ve depo içeriklerini değiştirmesine olanak tanıyabilecek kritik bir güvenlik tehdidiyle karşı karşıyadır. CVE-2026-123710 kimliğiyle takip edilen açık, CVSS ölçeğine göre 9.8 risk puanı alarak, anında müdahale gerektiren yüksek riskli tehdit kategorisinde yer almaktadır.
Red Hat şirketinden Dave O’Connor tarafından keşfedilen açık, imza anahtarlarını yönetmekten sorumlu hizmeti (Service Key Server) hedef almaktadır. Bu hizmete erişim güvenilmeyen istemciler için mevcut olduğunda, saldırganlar anahtar döndürme (Key Rotation) mekanizmasındaki bir kusuru kullanarak sistem içine kendi imza anahtarlarını yerleştirebilir ve böylece kaydın jeton imzalama (Token Signing) işlemi üzerinde tam kontrole sahip olabilirler.
Erişim Kısıtlamalarını Aşma ve Tam Kontrol
Saldırgan, kendi imza anahtarını başarıyla yerleştirdikten sonra, tüm olağan erişim kısıtlamalarını aşarak kayıt içindeki herhangi bir depo üzerinde okuma ve yazma yetkisi veren jetonlar (Tokens) oluşturabilir hale gelir. Bu durum, aşağıdakileri içeren ciddi teknik senaryolara kapı aralar:
- Hassas Verilerin Sızdırılması: Özel konteyner imajlarının ve bunların içinde saklanan kimlik bilgilerinin (Credentials) veya teknik sırların (Secrets) ifşa edilmesi.
- Depoların Sabote Edilmesi: Orijinal imajların kötü amaçlı imajlarla değiştirilebilmesi; bu da bu depolara güvenen sistemlerin otomatik olarak enfekte edilmiş yazılımları indirmesi anlamına gelir.
- Operasyonların Aksatılması: Kötü amaçlı anahtar döndürme işlemi, yan etki olarak orijinal anahtarların silinmesine yol açabilir ve bu da meşru kullanıcıların imaj yüklemesini veya indirmesini engelleyebilir.
Bu Tehdit Neden Olağanüstü Bir Risk Oluşturuyor?
Red Hat, bu açığın geleneksel açıklardan birkaç nedenden dolayı farklı olduğunu ve bunun da sorunu çözmeyi ve sistemi buna karşı güvence altına almayı karmaşık hale getirdiğini açıklamıştır:
- Yüksek Kalıcılık: Kötü amaçlı anahtar, bir son kullanma tarihi olmadan çalışacak şekilde ayarlanabilir ve manuel olarak silinmediği sürece kayıt hizmeti yeniden başlatıldıktan sonra bile geçerli kalmaya devam eder.
- Geleneksel Çözümlerin Yetersizliği: Şirket, "Anonim Erişimi" (Anonymous Access) durdurmanın kuruluşları korumayacağı konusunda uyardı; çünkü Quay'de geçerli bir hesabı olan herhangi bir kullanıcı bu açığı kullanabilir. Ayrıca, şifrelerin değiştirilmesi veya robot jetonlarının (Robot Tokens) yenilenmesi, saldırganın yerleştirdiği imza anahtarını geçersiz kılmayacaktır.
Önerilen Önlemler
Düzeltmeler tamamen yayınlanana kadar Red Hat, anahtar yönetimi hizmetine erişimin kısıtlanmasını, anahtarlarda yetkisiz değişiklik olup olmadığını tespit etmek için sistem günlüklerinin (Logs) dikkatle incelenmesini ve şüpheli anahtarların derhal kaldırılmasını tavsiye etmektedir. Bu açık ve başka bir açık (CVE-2026-110697) için hazırlanan düzeltmeler, 11 Kasım'da projenin GitHub deposuna dahil edilmiştir.