CVE-2026-123710 : Red Hat Quay signing key bypass CVSS 9.8

Les faits

Le 11 novembre 2026, Red Hat a divulgué publiquement CVE-2026-123710, une vulnérabilité critique (CVSS 3.1 : 9.8, vecteur AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) affectant son registre de conteneurs d'entreprise Red Hat Quay. La faille a été découverte par Dave O'Connor, ingénieur sécurité chez Red Hat, signalée en interne le 6 novembre 2026, puis publiée après cinq jours d'analyse et de préparation d'un correctif. Elle touche Red Hat Quay 3 et Red Hat Quay 5 dans toutes leurs versions publiées à ce jour. Le score CVSS maximal sur les trois composantes CIA — Confidentiality, Integrity, Availability — traduit un impact catastrophique potentiel sur les environnements de livraison logicielle.

La vulnérabilité réside dans l'endpoint de rotation des clés de service de Quay (/api/v1/superuser/keys). Ce point de terminaison est conçu pour permettre aux composants internes du registre de faire pivoter leurs clés de signature cryptographique. La faiblesse fondamentale, répertoriée sous CWE-287 (Improper Authentication), tient à une validation insuffisante du jeton présenté lors de la rotation : Quay accepte un JSON Web Token (JWT) de registre anonyme — obtenu sans authentification préalable — dès lors que le champ audience (aud) du jeton correspond à un service interne connu. L'identité réelle du porteur du jeton n'est jamais vérifiée.

Un attaquant peut exploiter cette faille en trois étapes successives. Premièrement, il émet une requête non authentifiée vers l'endpoint de génération de jetons anonymes en spécifiant l'identifiant d'un service interne de son choix dans le champ audience. Deuxièmement, il présente ce jeton anonyme à l'endpoint de rotation des clés de service. Troisièmement, Quay valide uniquement la présence d'une audience reconnue dans le JWT, sans exiger que le porteur soit un composant interne authentifié ou qu'il détienne des droits administrateurs sur l'instance. L'attaquant peut alors enregistrer sa propre clé de signature approuvée, sans date d'expiration. Cette clé persistante lui permet ensuite d'émettre des jetons signés accordant un accès complet à l'intégralité du registre.

Une vulnérabilité connexe, CVE-2026-110697, a été divulguée le même jour. Elle exploite des wildcards SQL non échappés dans la fonction de listage des comptes robots (robot accounts), permettant à un tenant authentifié de récupérer les jetons d'authentification des comptes robots d'autres tenants — vol de credentials inter-tenant (CWE-89, SQL Injection). Les deux failles doivent être traitées conjointement, car elles s'inscrivent dans la même surface d'attaque du registre Quay et peuvent être enchaînées pour amplifier l'impact d'une compromission.

L'impact potentiel de CVE-2026-123710 est particulièrement grave dans les environnements DevSecOps utilisant Red Hat Quay comme registre central d'images de conteneurs. Un attaquant qui compromet le mécanisme de signature peut introduire des images malveillantes portant une signature cryptographiquement valide dans n'importe quel pipeline CI/CD connecté au registre. Dans les architectures de déploiement continu, ces images seraient automatiquement promues en production sans déclencher d'alerte — c'est précisément le scénario d'attaque supply chain que les solutions de signature d'images sont censées prévenir. Selon les informations disponibles au 12 novembre 2026, aucun code d'exploitation public n'a été confirmé, et la faille n'est pas encore répertoriée dans le catalogue CISA Known Exploited Vulnerabilities (KEV).

Du point de vue technique, la racine de la vulnérabilité est une défaillance de logique de contrôle d'accès. Le code de Quay fait confiance implicitement à la présence d'un champ audience valide dans le JWT, sans vérifier que le porteur du jeton possède une identité authentifiée ou des droits administratifs. Ce type de faille — souvent désigné comme un problème de « confused deputy » ou de validation d'autorité insuffisante — est particulièrement difficile à détecter en revue de code, car chaque composant de validation, pris isolément, semble fonctionner correctement. La faiblesse n'apparaît que lors de l'analyse de l'interaction entre l'endpoint de génération de jetons anonymes et l'endpoint de rotation des clés.

La chronologie de divulgation est la suivante : découverte interne le 6 novembre 2026, signalement à l'équipe Red Hat Product Security, analyse, développement du correctif et publication coordonnée de l'advisory le 11 novembre 2026. Cette fenêtre de cinq jours est courte, ce qui suggère que Red Hat a traité cette faille avec la plus haute priorité. L'advisory de référence est RHSA-2026:9521 ; les numéros de build exacts des versions corrigées pour Quay 3 et Quay 5 sont disponibles sur access.redhat.com.

Il est important de noter que l'absence de date d'expiration sur la clé malveillante installée par l'attaquant signifie que la compromission persiste même après la mise à jour de Quay : un audit et une purge des clés de service doivent impérativement accompagner l'application du patch. Des indicateurs de compromission sont disponibles via l'examen des logs d'accès à l'API d'administration, en particulier les requêtes POST vers /api/v1/superuser/keys effectuées en dehors des fenêtres de maintenance planifiées ou depuis des adresses IP non répertoriées.

Impact et exposition

Toute organisation déployant Red Hat Quay 3 ou Red Hat Quay 5 en mode auto-hébergé (on-premises) est exposée si l'API Quay est accessible depuis un réseau non totalement isolé. Les déploiements accessibles depuis Internet sans restriction d'IP sont les plus à risque. Dans les architectures OpenShift utilisant Quay comme registre interne, l'exposition dépend de la configuration réseau du cluster : un attaquant ayant accès au réseau de pods ou à un nœud compromis pourrait atteindre l'API Quay et exploiter cette faille depuis l'intérieur du cluster.

Les conditions d'exploitation sont particulièrement favorables : aucun compte valide n'est requis, aucune interaction utilisateur n'est nécessaire, et la complexité est faible (AC:L). La faille est exploitable depuis n'importe quelle machine capable d'atteindre le port HTTPS de l'instance Quay. L'absence de preuve d'exploitation publique au moment de la publication ne réduit pas l'urgence : la nature de la faille est suffisamment simple pour être reproduite à partir de la seule description de l'advisory par un attaquant disposant d'une expertise en sécurité des registres de conteneurs.

L'impact sur la confidentialité est maximal (C:H) : tous les dépôts privés sont lisibles, exposant propriété intellectuelle, configurations sensibles et secrets applicatifs éventuellement stockés dans les images. L'impact sur l'intégrité est maximal (I:H) : un attaquant peut pousser des images malveillantes dans n'importe quel dépôt avec une signature cryptographiquement valide, contournant les politiques de signature d'images. L'impact sur la disponibilité est également élevé (A:H) : suppression ou écrasement d'images critiques entraînant des interruptions de déploiement. Dans un pipeline CI/CD automatisé, la compromission du registre d'images est équivalente à la compromission de la chaîne de livraison logicielle complète.

Les registres Quay hébergeant des images pour des environnements réglementés (santé, finance, défense, infrastructure critique) sont particulièrement sensibles. Un incident de supply chain via ce vecteur pourrait entraîner des obligations de notification aux autorités de contrôle au titre du RGPD ou de la directive NIS2. Les équipes de sécurité doivent traiter cette faille comme une priorité P0 dans leur processus de gestion des vulnérabilités.

Recommandations immédiates

• Appliquer immédiatement le correctif décrit dans Red Hat Security Advisory RHSA-2026:9521 (consulter access.redhat.com pour les numéros de build exacts selon votre version de Quay).
• Appliquer également le correctif pour CVE-2026-110697 (cross-tenant token theft via wildcard SQL), livré dans le même advisory.
• Auditer toutes les clés de service via l'interface d'administration Quay : supprimer immédiatement toute clé dont l'origine est inconnue ou dont la date d'expiration est absente.
• Examiner les logs d'accès à l'API Quay, en particulier les requêtes POST vers /api/v1/superuser/keys effectuées sans session utilisateur active ou depuis des IP non répertoriées.
• Restreindre l'accès réseau à l'API Quay aux seules adresses IP de confiance (hôtes CI/CD, équipes DevOps) jusqu'à l'application complète du patch.
• Surveiller les images récemment poussées dans les dépôts critiques et vérifier leur intégrité via un scan de vulnérabilités et une comparaison des digests SHA256 avec les versions de référence.
• Faire pivoter tous les secrets et credentials stockés dans des images ou des layers de registre accessibles depuis l'instance Quay compromise.