Red Hat Quay Kritik Açığıyla Özel İmajlar Okunup Değiştirilebiliyor

Red Hat Quay'deki iki kritik açıktan biri kimlik doğrulaması olmadan özel konteyner imajlarının okunup üzerine yazılmasına imkân veriyor; düzeltmeler yayımlandı.

Red Hat'in Raleigh'deki genel merkezi Red Hat Tower, çatısında şirket logosuyla akşam saatlerinde (Wikimedia Commons)

Kurumsal konteyner kayıt sunucusu (container registry) Red Hat Quay'de, varsayılan anonim erişim açıkken kimlik doğrulaması gerektirmeden özel konteyner imajlarının okunup üzerine yazılmasına imkân veren kritik bir güvenlik açığı ile kiracılar arası yetki sızıntısına yol açan ikinci bir açık kapatıldı. Red Hat'in 11 Kasım 2026'da duyurduğu ve iki açığı da şirketten Dave O'Connor'ın bulduğu kayıtlarda, anahtar sunucusundaki CVE-2026-123710 9,8, robot hesaplarını listeleyen koddaki CVE-2026-110697 ise 9,9 CVSS puanı taşıyor. Quay, kurumların uygulama geliştirme ve dağıtım süreçlerinde kullandığı konteyner imajlarını saklamak, yönetmek ve dağıtmak için kullanılıyor.

İmza anahtarı açığı nasıl çalışıyor

Quay mimarisi, imaj çekme (pull) ve gönderme (push) izni veren erişim token'larını güvendiği anahtarlarla imzalıyor. CVE-2026-123710, kimlik doğrulaması bulunmayan bir saldırganın Quay'in güvendiği anahtarlar arasına süresi dolmayan kendi imza anahtarı kaydını eklemesine olanak tanıyor. Sistem bu işlemden sonra saldırganın anahtarıyla imzalanan token'ları tüm depolar için geçerli kabul ediyor. Hata kaydına göre Quay'in ilk açık kaynak commit'inden bu yana kodda bulunan bu durum, anahtar yenileme (rotation) uç noktasındaki eksik denetimden kaynaklanıyor. Uç nokta yalnız isteğin onaylı bir anahtarla imzalanmış, beklenen hedef kitle ve yayımcı bilgisini taşıyan bir token olup olmadığına bakıyor; token'ın anahtar yenileme amacıyla verilip verilmediğini denetlemiyor. Quay'in /v2/auth uç noktasından alınan ve hedef kitlesini çağıran tarafın seçtiği anonim token bu denetimi aşabiliyor.

Açığı kullanan bir saldırgan özel imajları, bu imajların içinde saklanan sırları ve kimlik bilgilerini çekebiliyor, depoya yeni imaj gönderebiliyor ya da mevcut imajların üzerine yazabiliyor; yapılan değişiklik bu imajları sonradan çeken tüm sistemlere yayılıyor. Sisteme eklenen anahtar sunucu yeniden başlatmalarından sonra da silinene kadar çalışmaya devam ediyor; parola sıfırlama veya robot token'larının yenilenmesi bu anahtarı geçersiz kılmıyor. Saldırgan ayrıca çalışan Quay sunucularının kullandığı meşru anahtarları da silebiliyor ve bu durumda normal push ile pull işlemleri kimlik bilgileri değişmediği hâlde «yetkisiz» hatasıyla başarısız oluyor. Quay'de anonim erişim varsayılan olarak açık geldiği için saldırganın bir hesaba sahip olması gerekmiyor; Red Hat, geçerli herhangi bir Quay hesabı üzerinden de açık kullanılabildiği için anonim erişimi kapatmanın koruma sağlamadığını belirtiyor.

İkinci açık: robot token'ları sızıyor

CVSS 9,9 puanlı CVE-2026-110697 ise Quay'in robot hesaplarını listelerken ad alanı (namespace) adından oluşturduğu SQL LIKE kalıbında joker karakterleri kaçışlamamasından kaynaklanıyor. SQL LIKE sorgularında alt çizgi karakteri herhangi bir tek karakterle eşleşiyor. Sistemde ad alanı oluşturabilen bir kullanıcı, uygun konuma yerleştirdiği alt çizgi içeren bir ad alanıyla başka bir kiracının ad alanını eşleştirerek o kiracının robot hesaplarını şifresi çözülmüş token'larıyla birlikte çekebiliyor ve hedef kiracının imajlarını okuyup değiştirebiliyor.

Bu işlem için yüksek yetki ya da hedef kullanıcının bir etkileşimi gerekmiyor. Özellikle Quay'in OpenShift entegre kayıt sunucusu olarak konumlandırıldığı ortamlarda çalınan robot kimlik bilgilerinin CI/CD hatlarına zararlı imaj sokmak amacıyla kullanılabileceği, birden fazla ekibin veya müşterinin aynı kaydı paylaştığı çok kiracılı kurulumların risk altında olduğu ifade ediliyor.

Etkilenen ve düzeltilmiş sürümler

Red Hat, Quay 3 ve Quay 5 serisinin tüm sürümlerini her iki açıktan da etkilenmiş olarak listeliyor. CVE-2026-123710 açısından Podman veya Docker üzerindeki bağımsız kurulumlar, OpenShift üzerinde Quay Operator ile kurulan Quay örnekleri ve Red Hat OpenShift ayna kayıt sunucusu (mirror registry) etkilenen yapılar arasında yer alıyor. İç ağdaki kayıt sunucuları dahil olmak üzere güvenilmeyen istemcilerin erişebildiği tüm Quay sunucuları risk taşıyor.

Red Hat sekiz ayrı Quay 3 dalı için güncelleme bülteni yayımlayarak her iki açığı 3.9.28, 3.10.28, 3.12.24, 3.14.10, 3.15.9, 3.16.7, 3.17.7 ve 3.18.3 sürümlerinde kapattı. Red Hat'in işlettiği Quay.io hizmetinde de düzeltme uygulandı. Projenin GitHub deposuna 11 Kasım'da eklenen kod değişiklikleri anahtar yenileme denetimini devreye alıyor, anahtar sunucusu üzerinden eklenen anahtarlara son kullanma tarihini zorunlu kılıyor, çağıranın token hedef kitlesini seçmesini engelliyor ve robot hesap arama sorgusunu düzeltiyor. Quay 5 için ayrı bir düzeltilmiş sürüm açıklanmadı.

Geçici önlemler

Red Hat, CVE-2026-123710 için düzeltilmiş sürüm kurulana kadar proxy ya da yük dengeleyici katmanında /keys uç noktasına yalnız güvenilen iç bileşenlerin erişmesine izin verilmesini, denetim kayıtlarında son kullanma tarihi boş olan service_key_rotate ve service_key_delete olaylarının aranmasını ve tanınmayan onaylı servis anahtarlarının silinmesini öneriyor. Ancak yama uygulanana dek aynı yöntemle yeniden anahtar eklenebildiği için yalnız anahtar silmek kalıcı çözüm sağlamıyor.

CVE-2026-110697 tarafında ise tek tam çözümün sürüm güncellemesi olduğu vurgulanıyor. Sistemin hemen güncellenemediği durumlarda alt çizgi içeren organizasyon veya ad alanı oluşturabilecek hesapların sınırlandırılması, alt çizgili ad alanlarıyla çakışan ad alanlarına ait robot token'larının yenilenmesi ve olağan robot kullanımına uymayan pull ile push etkinliklerinin izlenmesi riski azaltıcı adımlar olarak sıralanıyor. Güvenlik kaynaklarında açıkların sahada istismar edildiğine dair bir bilgi bulunmuyor; her iki kayıt da 13 Kasım 2026 sabahı itibarıyla CISA'nın aktif istismar edilen açıklar listesinde (KEV) yer almıyor.

Türkiye açısından

Red Hat Quay ve OpenShift, Türkiye'de bankacılık, telekomünikasyon ve kamu başta olmak üzere büyük ölçekli kurumların konteyner altyapılarında tercih edilen kurumsal ürünler arasında bulunuyor. Türkiye'deki etkilenen kurulum sayısına ilişkin açıklanmış bir veri yer almazken, Siber Güvenlik Başkanlığı tarafından bu iki açık hakkında yayımlanmış bir bildirim henüz bulunmuyor.