对容器基础设施的直接威胁
面向企业的容器注册表 (Container Registry) 平台 Red Hat Quay 正面临一项严重的安全性威胁，该威胁可能允许攻击者通过受影响的注册表未经授权地访问私有容器镜像并替换仓库内容。该漏洞的追踪标识符为 CVE-2026-123710，根据 CVSS 标准，其严重程度评分为 9.8，属于需要立即响应的高风险威胁类别。
该漏洞由来自 Red Hat 公司的 Dave O’Connor 发现，其针对的是负责管理签名密钥的服务 (Service Key Server)。如果未经授权的客户端可以访问该服务，攻击者可以利用密钥轮换 (Key Rotation) 机制中的缺陷，在系统中植入自己的签名密钥，从而获得对注册表令牌签名 (Token Signing) 过程的完全控制权。
绕过访问限制并实现完全控制
一旦攻击者成功安装了自己的签名密钥，他们就能创建令牌 (Tokens)，从而获得对注册表内任何仓库的读写权限，绕过所有常规的访问限制。这为以下严重的各种技术场景打开了大门：
- 敏感数据泄露： 暴露私有容器镜像，以及其中可能包含的凭据 (Credentials) 或存储的技术机密 (Secrets)。
- 破坏仓库： 有能力将原始镜像替换为其他恶意镜像，这意味着依赖这些仓库的系统将自动下载被植入恶意软件的程序。
- 中断业务运营： 恶意的密钥轮换过程可能会产生副作用，导致删除原始密钥，从而阻止合法用户上传或下载镜像。
为什么这一威胁具有异常的危险性？
Red Hat 说明，由于以下几个原因，该漏洞与传统漏洞不同，这使得修复和保护系统免受攻击变得非常复杂：
- 高持久性： 恶意密钥可以被设置为没有过期日期，并且即使在注册表服务重启后仍然有效，除非手动将其删除。
- 传统解决方案失效： 公司警告称，禁用“匿名访问” (Anonymous Access) 并不能保护企业，因为任何在 Quay 中拥有有效账户的用户都可以利用此漏洞。此外，更改密码或更新机器人令牌 (Robot Tokens) 也无法使攻击者植入的签名密钥失效。
建议采取的措施
在修复程序完全发布之前，Red Hat 建议必须限制对密钥管理服务的访问，仔细检查系统日志 (Logs) 以查找任何未经授权的密钥更改，并立即采取行动删除任何可疑密钥。针对该漏洞以及另一个漏洞 (CVE-2026-110697) 的修复程序已于 11 月 11 日合并到该项目的 GitHub 仓库中。