Die Schwachstelle betrifft Red Hat Quay, eine Container-Registry zur Verwaltung von Container-Images. Ein Client ohne jede Anmeldung kann sich ein anonymes Registry-Token ausstellen lassen und dabei selbst festlegen, für welche Zielgruppe (Audience) es gilt. Dieses Token legt er dann dem Endpunkt vor, über den die Dienstschlüssel rotiert werden. Auf diesem Weg kann der Angreifer einen eigenen Signaturschlüssel installieren, der als genehmigt gilt und nie abläuft. Mit diesem Schlüssel signierte Registry-Tokens akzeptiert Quay anschließend für jedes beliebige Repository. Der Angreifer erhält damit Lese- und Schreibzugriff auch auf private Images und kann Repository-Tags ersetzen, also etwa manipulierte Images unter vertrauten Namen einschleusen. Das gefährdet nicht nur die Vertraulichkeit der gespeicherten Images, sondern auch die Integrität aller Systeme, die Images aus der betroffenen Registry beziehen und ausführen.