CVE-2026-123710 : Red Hat Quay CVSS 9.8, registres CI/CD menacés

Les faits

Une vulnérabilité critique a été identifiée dans Red Hat Quay, le registre de conteneurs d'entreprise open source largement adopté dans les environnements Kubernetes et OpenShift. Référencée CVE-2026-123710 et affublée d'un score CVSS de 9.8, cette faille permet à un attaquant non authentifié d'accéder en lecture et en écriture à des images de conteneurs privées stockées dans le registre. L'information a été relayée par The Hacker News dans les dernières 48 heures et confirmée par Red Hat via un advisory de sécurité officiel.

Le mécanisme de la faille repose sur un défaut dans le système de contrôle d'accès de l'API v2 de Quay. Plus précisément, un endpoint de l'API de gestion des manifestes ne valide pas correctement les tokens d'authentification dans certaines conditions de requête combinant des en-têtes HTTP spécifiques. En exploitant cette condition, un attaquant peut contourner l'authentification et adresser des requêtes arbitraires aux dépôts privés comme s'il disposait des droits d'administrateur du registre.

Les conséquences sont doublement graves. D'un côté, la lecture non autorisée d'images privées peut exposer du code source propriétaire, des secrets compilés dans des layers d'images (clés API, certificats, identifiants), et de la propriété intellectuelle. De l'autre, et c'est encore plus préoccupant, l'écriture non autorisée permet à un attaquant de remplacer une image légitime par une image vérolée. Si cette image compromise est ensuite déployée automatiquement via un pipeline CI/CD, l'attaquant obtient une exécution de code dans les environnements de production — c'est la définition même d'une attaque de supply chain.

Les registres Quay exposés directement sur internet sont les plus à risque, mais les instances internes ne sont pas à l'abri si un attaquant a déjà un pied dans le réseau — via un poste compromis, un accès VPN volé ou une autre faille. Dans un environnement Kubernetes multi-tenant, la compromission d'un registre central peut affecter simultanément des dizaines d'applications et d'équipes de développement.

Red Hat a publié un patch corrigeant CVE-2026-123710. Les versions affectées incluent Quay 3.x jusqu'à la version précédant le correctif. Les utilisateurs de Quay.io, le service hébergé par Red Hat, ont indiqué que leurs instances ont été mises à jour automatiquement, mais les déploiements on-premises et les instances Quay intégrées à OpenShift Container Platform nécessitent une action manuelle.

Cette vulnérabilité s'inscrit dans une tendance préoccupante : les registres de conteneurs deviennent des cibles de choix pour les acteurs malveillants souhaitant compromettre les chaînes d'approvisionnement logicielles. En 2025, plusieurs incidents ont impliqué des images Docker Hub malicieuses pour distribuer des cryptomineurs et des backdoors. CVE-2026-123710 va plus loin en permettant de compromettre des registres privés d'entreprise, là où la confiance dans les images est maximale.

Les équipes de sécurité doivent également prendre en compte l'aspect forensique : si un attaquant a exploité cette faille avant l'application du patch, des images peuvent avoir été substituées silencieusement. L'absence d'alertes dans les logs standards de Quay n'exclut pas une compromission, car l'exploitation contourne les contrôles d'authentification normaux et peut ne pas générer d'entrées de logs anormales visibles.

Les équipes DevSecOps qui utilisent Quay comme registre central dans des pipelines GitOps — avec déploiement automatique via ArgoCD ou Flux CD — sont particulièrement exposées. Dans ces architectures, une image compromise peut se propager automatiquement à l'ensemble des clusters Kubernetes gérés, sans intervention humaine dans la boucle. La combinaison d'une faille CVSS 9.8 et d'une architecture GitOps entièrement automatisée représente un risque de compromission en cascade difficile à contenir une fois déclenché.

Impact et exposition

Toutes les instances Red Hat Quay en versions 3.x antérieures au patch sont affectées. Les déploiements accessibles depuis internet sans WAF ni contrôle d'accès réseau strict sont les plus exposés. Les pipelines CI/CD utilisant Quay comme registre central sont particulièrement menacés par le vecteur d'écriture. Les dépôts publics ne sont pas concernés par la confidentialité, mais restent vulnérables à l'écrasement d'images.

Recommandations

• Immédiat : appliquer le patch Red Hat pour Quay. Sur OpenShift, utiliser l'opérateur Quay pour mettre à jour.
• Auditer les logs d'accès à votre registre Quay sur les 7 derniers jours pour identifier toute requête anormale vers les endpoints de l'API manifest.
• Vérifier l'intégrité des images critiques en comparant les digests SHA256 avec vos références de build connues avant tout redéploiement.
• Activer la signature d'images (Cosign ou Notary) pour garantir l'authenticité des images à l'avenir, indépendamment de la sécurité du registre.
• Restreindre l'accès réseau à votre registre Quay : port 443 uniquement depuis les plages IP de vos runners CI/CD et de vos clusters Kubernetes.