كشفت Red Hat عن ثغرتين حرجتين في برنامج تسجيل الحاويات Quay الخاص بها، تم تحديدهما كـ CVE-2026-123710 وCVE-2026-110697. حصلت هذه الثغرات على درجات CVSS تبلغ 9.8 و9.9 على التوالي، مما يشير إلى خطورتهما.
تسمح CVE-2026-123710 للمهاجمين بالوصول إلى صور الحاويات الخاصة وتعديل محتوى المستودع. يمكن استغلال هذا الخلل من قبل مهاجمين غير مصادقين عندما يكون الوصول المجهول ممكناً. حتى مع تعطيل الوصول المجهول، يمكن لأي حساب Quay صالح استغلال الثغرة.
يتضمن استغلال CVE-2026-123710 السيطرة على توقيع رمز التسجيل، مما يسمح للمهاجمين بإنشاء رموز ذات وصول للقراءة والكتابة إلى أي مستودع، متجاوزين القيود العادية للوصول. يمكن تكوين مفتاح التوقيع الضار بدون تاريخ انتهاء، مما يجعله مستمراً عبر إعادة تشغيل التسجيل ما لم يتم إزالته يدوياً.
تؤثر كلتا الثغرتين على جميع إصدارات Quay 3 وQuay 5. توصي Red Hat بتقييد الوصول إلى خدمة إدارة المفاتيح ومراجعة السجلات لأي تغييرات مشبوهة كإجراء تخفيفي.
تم اكتشاف الثغرات من قبل Dave O'Connor من Red Hat. يبرز تأكيد حالة الاستغلال الحاجة الملحة للمستخدمين لتطبيق التدابير الأمنية الموصى بها لحماية أنظمتهم.