Säkerhetsbrist i Docker Hub möjliggjorde användarimitation och manipulering av avbildningar

En kritisk säkerhetsbrist i Docker Hub gjorde det möjligt för angripare att utge sig för att vara andra användare och potentiellt ladda ner, publicera eller radera containeravbildningar. Docker har åtgärdat sårbarheten, som identifieras som CVE-2026-105445, och uppger att företagets undersökning inte hittade några bevis för att den hade utnyttjats.

Problemet rörde personliga åtkomsttoken som överfördes vid kontokonverteringar. Eftersom angripare kunde behålla en fungerande token kopplad till en annan användare innebar sårbarheten en risk för programvarans leveranskedja.

Kontokonverteringar exponerade användarnas kodförråd

Docker Hub lagrar och distribuerar containeravbildningar, som paketerar applikationer tillsammans med de komponenter de behöver för att köras. Utvecklare och automatiserade arbetsflöden använder personliga åtkomsttoken, eller PAT, för att autentisera åtgärder som att ladda ner och publicera avbildningar.

Sårbarheten påverkade processen för att konvertera ett personligt konto till en organisation. En angripare kunde skapa ett konto, generera en PAT och sedan konvertera kontot samtidigt som en annan användare angavs som organisationens ägare.

Under konverteringen tilldelade Docker Hub den befintliga token till den utsedda ägaren. Plattformen ändrade dock inte tokenens hemliga värde och krävde inte heller att personen godkände överföringen.

Därmed behöll angriparen en token som autentiserades som målanvändaren på containerregistrets nivå.

Manipulering av avbildningar skapade risker för leveranskedjan

Angriparens möjligheter berodde både på tokenens behörighetsomfattning och målanvändarens rättigheter. Inom dessa gränser kunde tokenen möjliggöra nedladdning, uppladdning eller radering av avbildningar i kodförråd som målanvändaren hade åtkomst till.

Denna åtkomst kunde även omfatta kodförråd som tillhörde organisationer där målanvändaren hade behörigheter.

Avgörande var att en angripare potentiellt kunde publicera en modifierad avbildning under ett legitimt kodförrådsnamn. Användare längre ned i distributionskedjan kunde då ladda ner avbildningen via en distributionskanal som annars betraktades som betrodd. Docker klassificerade därför sårbarheten som kritisk.

Säkerhetsbristen i Docker Hub gav dock inte åtkomst till tjänstens webbgränssnitt. Den gjorde det inte heller möjligt för angripare att ändra lösenord, e-postadresser eller inställningar för tvåfaktorsautentisering.

Docker åtgärdade problemet inom fyra timmar

Sårbarheten hade sitt ursprung i en ändring som infördes den 26 augusti 2024. Från den tidpunkten tilldelades befintliga PAT till nya ägare vid kontokonverteringar utan att deras hemliga värden återkallades eller roterades och utan att den nya ägarens bekräftelse inhämtades.

Docker tog emot en sårbarhetsrapport den 30 september 2026. Företaget bekräftade problemet och driftsatte en korrigering i produktionsmiljön mindre än fyra timmar senare.

Som en del av undersökningen granskade Docker 304 000 uppladdningar av avbildningar som hade autentiserats med överförda token. Företaget analyserade även offentliga avbildningar med hög risk. Enligt Docker visade dessa kontroller inga bevis för att sårbarheten hade utnyttjats.

Överförda token inaktiverades efter aviseringar

Docker meddelade berörda användare och organisationsägare den 2 oktober. Därefter inaktiverade företaget överförda PAT den 8 oktober, förutom i de fall där ägarna uttryckligen hade begärt att få behålla dem.

Enligt Docker bör användare som inte fått någon avisering betrakta sig som opåverkade och behöver inte vidta några åtgärder.

Plattformen har också ändrat sin konverteringsprocess. Den överför inte längre personliga åtkomsttoken och kräver nu samtycke innan en användare utses till organisationsägare.