Red Hat Quay : faille critique sur toutes les images privées
Une faille critique dans Red Hat Quay permet de lire et d'écraser les images privées de tous les dépôts d'un registre.
Une vulnérabilité critique touche Red Hat Quay, le registre de conteneurs d’entreprise de l’éditeur. Elle permet à un attaquant ayant accès au registre de lire les images privées de chaque dépôt. Il peut également les écraser. Par ailleurs, Red Hat a annoncé hier la publication de versions corrigées.
Ce type de faille est particulièrement sensible. En effet, un registre d’images concentre le code et les composants qui alimentent la production. Par conséquent, sa compromission peut avoir des conséquences bien au-delà du registre lui-même.
Une faille critique dans Red Hat Quay
Le défaut concerne le contrôle d’accès du registre. Ainsi, un attaquant qui parvient à l’atteindre peut contourner les restrictions des dépôts privés. Il obtient alors deux capacités.
- Lire les images privées de tous les dépôts, quel que soit leur propriétaire.
- Écraser ces images, c’est-à-dire remplacer un contenu légitime par un autre.
La portée est donc totale. L’attaquant n’est pas limité à un projet ou à une organisation. En effet, tous les dépôts du registre sont exposés.
Par ailleurs, la lecture et l’écriture n’ont pas le même impact. La lecture ouvre la voie au vol de propriété intellectuelle. Elle peut aussi révéler des secrets embarqués par erreur dans les images, comme des clés ou des jetons. En revanche, l’écriture permet de modifier ce que les équipes déploient ensuite.
Un accès anonyme activé par défaut
Le point le plus inquiétant concerne la configuration par défaut. En effet, Quay active l’accès anonyme dès l’installation. Par conséquent, tant que cette option reste active, l’attaquant n’a besoin d’aucun compte pour exploiter la faille.
Cependant, la désactiver ne suffit pas à se protéger. Selon Red Hat, toute personne disposant d’un compte valide peut encore tirer parti de la vulnérabilité. Il peut s’agir d’un utilisateur interne, d’un prestataire ou d’un compte volé.
Autrement dit, le niveau d’exposition varie selon les déploiements. Un registre ouvert sur Internet avec l’accès anonyme actif représente le pire scénario. En revanche, un registre interne, réservé à des comptes authentifiés, reste vulnérable. Le risque est simplement plus restreint.
Quels risques pour la chaîne d’approvisionnement ?
La possibilité d’écraser des images est le scénario le plus préoccupant. Ainsi, un attaquant pourrait remplacer une image de confiance par une version piégée. Ensuite, les pipelines de déploiement la récupéreraient sans méfiance.
Par exemple, une image de base modifiée pourrait contenir une porte dérobée. Un composant utilisé par de nombreux services la propagerait alors dans toute l’infrastructure. Il s’agit d’une attaque classique contre la chaîne d’approvisionnement logicielle.
De plus, la détection peut s’avérer difficile. En effet, si le nom et l’étiquette de l’image restent identiques, rien ne semble changé. Seule une vérification de l’empreinte ou de la signature permet de repérer la substitution. C’est pourquoi les équipes doivent contrôler l’intégrité de leurs images, et pas seulement leur provenance apparente.
Enfin, la lecture des images privées expose des informations sensibles. Les images contiennent parfois des fichiers de configuration, des identifiants ou du code propriétaire. Un attaquant peut donc les exploiter pour progresser vers d’autres systèmes.
Que faire pour protéger Red Hat Quay ?
Red Hat a publié des versions corrigées pour huit versions de Quay. Les administrateurs doivent donc consulter l’avis de sécurité de l’éditeur. Ils y trouveront les numéros de version exacts à déployer pour leur branche. Ces détails ne sont pas repris ici afin d’éviter toute erreur.
En attendant la mise à jour, plusieurs mesures de prudence s’imposent.
- Appliquer les correctifs dès que possible sur chaque instance de Quay.
- Désactiver l’accès anonyme si votre usage ne l’exige pas. Cette mesure réduit la surface d’attaque, même si elle ne règle pas tout.
- Limiter l’exposition réseau du registre. Il ne doit pas être joignable depuis Internet sans nécessité.
- Auditer les comptes existants. Supprimez ceux qui sont inutiles ou dormants.
- Vérifier l’intégrité des images en comparant les empreintes et les signatures avec des valeurs connues.
- Examiner les journaux à la recherche d’accès inhabituels ou de modifications inattendues d’images.
Ce qu’il faut retenir
- La faille de Red Hat Quay est qualifiée de critique par l’éditeur.
- Elle permet de lire et d’écraser les images privées de tous les dépôts.
- L’accès anonyme, activé par défaut, supprime toute exigence de compte.
- Même sans accès anonyme, un simple compte valide suffit à l’exploiter.
- Des versions corrigées existent pour huit versions de Quay.
Par conséquent, la priorité est claire. Mettez à jour, réduisez l’exposition et vérifiez vos images. Par ailleurs, si votre registre a été accessible à des tiers, considérez que des secrets contenus dans les images ont pu être lus. Il faudra alors les renouveler.