CVE-2026-32589
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W procesie przesyłania obrazów kontenerowych w Red Hat Quay wykryto lukę, która pozwala uwierzytelnionemu użytkownikowi z prawem push do dowolnego repozytorium na ingerencję w trwające przesyłanie obrazów przez innych użytkowników, w tym w repozytoria, do których nie ma dostępu. Atakujący może odczytać, zmodyfikować lub anulować przesyłanie obrazu innego użytkownika.
Ocena ryzyka
Ryzyko polega na możliwości zakłócenia procesów CI/CD oraz potencjalnym wycieku lub modyfikacji danych obrazów kontenerowych, co może prowadzić do naruszenia integralności i poufności wdrożeń.
Rekomendacja
Zaleca się natychmiastową aktualizację Red Hat Quay do najnowszej wersji zawierającej poprawkę oraz ograniczenie uprawnień push do niezbędnego minimum.
Inne podatności w Red Hat Quay
Zobacz wszystkie- CVE-2026-74247Średnie
W Red Hat Quay użytkownik z włączoną funkcją FEATURE_BUILD_SUPPORT i dostępem do zapisu w repozytorium może wykorzystać podatność SSRF w API budowania, wysyłając złośliwy URL, co powoduje, że builder wykonuje żądania do wewnętrznych adresów sieciowych.
- CVE-2026-74245Średnie
W Red Hat Quay funkcja eksportowanych logów umożliwia nieuwierzytelnionemu atakującemu z ważnym ID pliku pobranie wyeksportowanych logów akcji bez odpowiedniej autoryzacji. ID plików mogą być przechwycone z e-maili lub webhooków.
- CVE-2026-74244Średnie
W Red Hat Quay obsługa webhooka płatności Stripe jest podatna na atak polegający na fałszowaniu zdarzeń billingowych. Nieuwierzytelniony atakujący może wysyłać spreparowane żądania JSON do punktu końcowego /webhooks/stripe bez weryfikacji nagłówka Stripe-Signature.
- CVE-2026-74243Średnie
W Red Hat Quay, gdy klucz SECURITY_SCANNER_V4_PSK nie jest ustawiony, zdalny nieuwierzytelniony atakujący może wysyłać żądania POST do punktu końcowego powiadomień skanera bezpieczeństwa, co pozwala na zalewanie kolejki powiadomień i wstrzykiwanie znaków ścieżki do URL-i API Clair.
- CVE-2026-74242Średnie
W Red Hat Quay administrator dowolnego repozytorium, znając lub zgadując UUID powiadomienia, może odczytać konfigurację powiadomień, w tym wrażliwe dane, takie jak URL-e webhooków, tokeny Slack i adresy e-mail. Może również wyzwalać testowe powiadomienia dla innego repozytorium.
- CVE-2026-74241Średnie
W Red Hat Quay obsługa zewnętrznego uwierzytelniania LDAP nieprawidłowo escapuje nazwę użytkownika, gdy zwracane jest odwołanie LDAP. Atakujący może wstrzyknąć metaznaki filtra LDAP, co umożliwia ataki typu wyrocznia istnienia użytkownika w DN odwołania.
- CVE-2026-74240Średnie
W Red Hat Quay walidacja JWT dla kont robotów federacyjnych i uwierzytelniania SSO ma wiele problemów związanych z weryfikacją grupy odbiorców oraz egzekwowaniem roszczeń azp i sub. Atakujący z ważnie podpisanym tokenem od tego samego dostawcy tożsamości może ominąć skonfigurowane ograniczenia bezpieczeństwa.
- CVE-2026-16910Średnie
W Red Hat Quay funkcja webhook powiadomień Slack i ogólnych nie waliduje URL pod kątem SSRF. Administrator repozytorium może zmusić Quay worker do wysyłania żądań POST do wewnętrznych adresów sieciowych lub punktów końcowych chmury.
- CVE-2026-15927Średnie
Podatność SSRF w Red Hat Quay w konfiguracji mirror repozytorium. Administrator repozytorium może podać spreparowaną nazwę hosta, powodując, że Quay mirror worker wykonuje żądania do wewnętrznych usług sieciowych.
- CVE-2026-32591Średnie
W Red Hat Quay funkcja konfiguracji proxy cache nie weryfikuje, czy wskazany host rejestru upstream jest prawowitym serwisem zewnętrznym. Administrator organizacji może podać spreparowaną nazwę hosta, zmuszając serwer Quay do wysyłania żądań do wewnętrznych usług sieciowych, punktów końcowych infrastruktury chmurowej lub innych zasobów, które nie powinny być dostępne z poziomu aplikacji Quay.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Red Hat Quay's container image upload process. An authenticated user with push access to any repository on the registry can interfere with image uploads in progress by other users, including those in repositories they do not have access to. This could allow the attacker to read, modify, or cancel another user's in-progress image upload.