要点
- 社内でコンテナ・イメージ（アプリの部品をまとめた配布物）を保管する Red Hat Quay に、重大な欠陥が見つかった。
- 条件が合うと、認証のない相手でも自前の署名鍵を登録でき、非公開イメージの読み出しや上書きができるおそれがある。
- 修正版の番号は未公表で、当面は暫定対策が要る。
何が起きたか
Red Hat は、Quay の欠陥 CVE-2026-123710 を公表した。深刻度は 9.8（満点は 10）だが、Red Hat 自身が「暫定の評価で、見直しの対象」と注記している。発見者は Red Hat の Dave O’Connor だ。
Quay は、コンテナ・イメージをしまっておく倉庫のようなものだ。倉庫への出入りは、署名鍵で作る通行証で管理される。Red Hat の説明によると、この署名鍵の管理部分に不備があった。鍵の管理用の入口に外部から届く環境では、認証のない相手が、自分の鍵を「信頼できる鍵」として登録できる。その鍵で作った通行証は、どの保管場所にも通ってしまう。
起こりうる被害は次のとおりだ。
- 非公開イメージと、その中に入れた秘密情報（パスワードや API の鍵など）が読まれる。
- 他のシステムが取りにいくイメージが、すり替えられる。ここがサプライチェーン（部品の供給経路）への入口になる。
- 登録された鍵は、期限なしにもできる。再起動しても残り、パスワードの変更やロボットトークン（機械用の認証情報）の再発行でも無効にならない。
SecurityWeek は、Red Hat の追加の案内として、匿名アクセスを無効にしても、有効な Quay のアカウントがあればこの欠陥を突けると報じた。Red Hat のページには、その点の記載は確認できなかった。
修正は、11 月 11 日に Quay の GitHub に取り込まれた（PR #8057）。一方 Red Hat の advisory には、修正済みの製品版も時期も書かれていない。
日本の利用者への影響
日本の組織や利用者への影響については、Red Hat の advisory にも SecurityWeek にも記載がない。SecurityWeek は、Quay を、コンテナ・イメージを保管・管理・配布する企業向けのレジストリだと説明している。日本でどれだけ使われているかは、調べがつかなかった。自社で運用しているなら、自分の環境が当たるかを確かめたい。
今すぐやること
- 自社が Quay を運用しているか、管理用の入口が信頼できない相手から届く経路にないかを確かめる。
- Red Hat の勧めに従い、その入口へのアクセスを、社内の信頼できる部品だけに絞る。
- 監査ログを見て、鍵の更新や削除の記録に、身に覚えのない期限なしの鍵がないか確かめる。見つけたら削除する。
- 修正版が出るまで、鍵を消すだけでは足りない。入口を絞る対策を続ける。
- 疑わしい記録があれば、イメージの中身（特に多くの環境に配るもの）が改ざんされていないか確かめる。入れていた秘密情報は、入れ替えを検討する。
背景
コンテナ・レジストリは、アプリを本番へ運ぶ途中にある。ここを書き換えられると、配られた先すべてに影響が及ぶ。そのため、権限の欠陥は小さくても重く扱われやすい。今回の PR には、ロボット用の名前空間（利用者ごとの区画）の扱いを直す変更も含まれていた。別の欠陥 CVE-2026-110697 と、まとめて直されたとみられる。
技術者向けの詳細
- CVE: CVE-2026-123710（CWE-1287）。Red Hat と cve.org は CVSS 3.1 で 9.8（
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。NVD は未評価。 - 影響を受ける版: Red Hat の advisory に記載なし。
/keysが信頼できないクライアントから届く環境が対象。 - 修正:
quay/quayの PR #8057（redhat-5.0へのバックポート、2026-11-11 マージ）。内容は、ロボット名前空間の接頭辞のエスケープと、サービス鍵の操作の検証の追加。製品の修正版は未公表。 - Red Hat の暫定対策: プロキシかロードバランサーで
/keysを内部の部品だけに限る。 - 確認する記録: 監査ログの
service_key_rotateとservice_key_delete。有効期限が null のものと、見覚えのない承認済み鍵。 - 注意: 修正版を入れるまでは、不審な鍵を消しても、また登録されうる。
- 悪用: Red Hat の advisory には記載なし。
- 参考: Red Hat の advisory、Bugzilla 2568072
