Red Hat Quay 3
Red Hat Quay 3: chiave di firma non autorizzata dà accesso a tutti i repository
Il problema, secondo i dati ufficiali
- Un client non autenticato può ottenere un token anonimo del registry con un audience scelto da lui, presentarlo all'endpoint di rotazione delle chiavi di servizio e installare una propria chiave di firma approvata, senza scadenza.
- I token del registry firmati con quella chiave vengono accettati per qualsiasi repository. Questo consente di leggere e scrivere le immagini private e di sostituire i tag dei repository.
- Secondo il punteggio ufficiale, la falla si sfrutta via rete, anche da internet se il servizio è esposto, senza bisogno di un account.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Fonti ufficiali
- access.redhat.com — riferimento
- bugzilla.redhat.com — riferimento
Descrizione ufficiale (in inglese)
A flaw was found in Red Hat Quay. An unauthenticated client can obtain an anonymous registry token with an audience it controls, present that token to the service key rotation endpoint, and install its own approved signing key with no expiry. Registry tokens signed with that key are accepted for any repository, allowing read and write access to private images and replacement of repository tags.
Non sai se ti riguarda?
Se usi Red Hat Quay 3 e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 12 novembre 2026. Prima di intervenire verifica l'avviso del produttore.