Contexte du produit
Red Hat Quay est une solution de registre d’images Docker destinée aux environnements d’entreprise. Elle stocke des images privées, souvent intégrées dans des pipelines CI/CD, et repose sur des mécanismes d’authentification basés sur des jetons ou des certificats TLS. La confidentialité des images est garantie par des contrôles d’accès qui limitent chaque utilisateur ou service aux dépôts qui lui sont attribués.
Description de la vulnérabilité
Une faille critique détectée dans Quay permet à un acteur non autorisé de lire et de écraser l’ensemble des images privées hébergées dans le registre. Le défaut contourne les contrôles d’accès habituels, rendant possible la récupération de code source, de bibliothèques et la substitution d’artefacts par des versions malveillantes. La gravité est élevée parce que la compromission touche à la fois la confidentialité (exfiltration d’images) et l’intégrité (remplacement d’artefacts).
Analyse technique et risques
Dans un registre, chaque image est indexée par un identifiant de dépôt et un hachage. Si le mécanisme d’autorisation ne valide pas correctement le propriétaire du dépôt, un appel API malformé peut adresser n’importe quel chemin, entraînant la lecture ou l’écriture d’artefacts hors du périmètre autorisé. Un tel scénario ouvre la porte à des attaques de type supply‑chain : un attaquant peut injecter du code malveillant dans une image légitime, qui sera ensuite déployée sur l’ensemble des clusters consommant cette image. La mitigation immédiate consiste à restreindre l’accès réseau au registre, à révoquer les jetons compromis et à surveiller les logs d’accès pour détecter des opérations inhabituelles.
Limites de l'information disponible
L’article source ne fournit ni numéro de version, ni identifiant CVE, ni description détaillée du vecteur d’exploitation. En l’absence de ces données, l’analyse reste hypothétique et se base uniquement sur le fait déclaré que la faille autorise la lecture et l’écrasement de toutes les images privées du registre Quay. Les équipes de sécurité devront attendre des bulletins officiels de Red Hat pour obtenir les correctifs et les recommandations précises.
