Red Hatのコンテナイメージ管理製品「Red Hat Quay」に、深刻なセキュリティホール(脆弱性)が見つかったと、専門メディアのThe Hacker Newsが報じています。レジストリ(保管庫)にアクセスできる攻撃者が、同じレジストリ内のすべてのリポジトリにある非公開のコンテナイメージを読み取り、さらに上書きできてしまうというものです。
「コンテナイメージ」とは、アプリを動かすために必要なプログラムや設定をひとまとめにした“配送用パッケージ”のようなものです。Quayはこのパッケージを社内などで保管・配布するための仕組みで、開発・運用の現場で広く使われています。
報道によると、Quayは初期設定で匿名アクセスが有効になっており、この設定のままだと攻撃者はアカウントを持っていなくても攻撃できます。匿名アクセスを無効にしていても、有効なアカウントさえあれば同様の操作が可能とされています。
怖いのは「読まれる」ことだけではありません。イメージを書き換えられると、正規のイメージに不正なプログラムを紛れ込ませ、それを使うシステム全体に被害が広がる「サプライチェーン攻撃」につながるおそれがあります。
Quayを使っている組織は、Red Hatが公開する情報を確認し、修正版が出ている場合は速やかに更新してください。あわせて、匿名アクセスが本当に必要かどうかを見直し、不要なら無効にしておくのが安全です。なお、詳細な影響範囲や修正版の番号は、必ずRed Hatの公式な案内でご確認ください。