En kritisk sikkerhetssårbarhet i Docker Hub gjorde det mulig for angripere å utgi seg for å være andre brukere og potensielt laste ned, publisere eller slette containeravbildninger. Docker har rettet sårbarheten, som er registrert som CVE-2026-105445, og opplyser at selskapets undersøkelse ikke fant bevis for at den hadde blitt utnyttet.
Problemet gjaldt personlige tilgangstokener som ble overført under kontokonverteringer. Fordi angripere kunne beholde et fungerende token knyttet til en annen bruker, utgjorde sårbarheten en risiko for programvarens forsyningskjede.
Kontokonverteringer eksponerte brukernes kodelagre
Docker Hub lagrer og distribuerer containeravbildninger, som pakker applikasjoner sammen med komponentene de trenger for å kjøre. Utviklere og automatiserte arbeidsflyter bruker personlige tilgangstokener, eller PAT-er, til å autentisere operasjoner som nedlasting og publisering av avbildninger.
Sårbarheten påvirket prosessen med å konvertere en personlig konto til en organisasjon. En angriper kunne opprette en konto, generere en PAT og deretter konvertere kontoen samtidig som en annen bruker ble angitt som organisasjonens eier.
Under konverteringen overførte Docker Hub det eksisterende tokenet til den utpekte eieren. Plattformen endret imidlertid ikke tokenets hemmelige verdi og krevde heller ikke at personen godkjente overføringen.
Dermed beholdt angriperen et token som autentiserte vedkommende som målbrukeren på containerregisternivå.
Manipulering av avbildninger skapte risiko for forsyningskjeden
Angriperens muligheter var avhengige av både tokenets tilgangsomfang og målbrukerens tillatelser. Innenfor disse grensene kunne tokenet gjøre det mulig å laste ned, laste opp eller slette avbildninger i kodelagre som målbrukeren hadde tilgang til.
Denne tilgangen kunne også omfatte kodelagre som tilhørte organisasjoner der målbrukeren hadde tillatelser.
Det avgjørende var at en angriper potensielt kunne publisere en modifisert avbildning under navnet til et legitimt kodelager. Brukere lenger ned i distribusjonskjeden kunne deretter laste ned denne avbildningen gjennom en distribusjonskanal som ellers ble ansett som pålitelig. Docker klassifiserte derfor sårbarheten som kritisk.
Sikkerhetssårbarheten i Docker Hub ga imidlertid ikke tilgang til tjenestens webgrensesnitt. Den gjorde det heller ikke mulig for angripere å endre passord, e-postadresser eller innstillinger for tofaktorautentisering.
Docker rettet problemet innen fire timer
Sårbarheten stammet fra en endring som ble innført 26. august 2024. Fra dette tidspunktet ble eksisterende PAT-er overført ved kontokonverteringer uten at de hemmelige verdiene deres ble tilbakekalt eller rotert, og uten at den nye eierens bekreftelse ble innhentet.
Docker mottok en sårbarhetsrapport 30. september 2026. Selskapet bekreftet problemet og implementerte en rettelse i produksjonsmiljøet mindre enn fire timer senere.
Som en del av undersøkelsen gjennomgikk Docker 304 000 opplastinger av avbildninger som var autentisert med overførte tokener. Selskapet analyserte også offentlige avbildninger med høy risiko. Ifølge Docker avdekket disse kontrollene ingen bevis for at sårbarheten hadde blitt utnyttet.
Overførte tokener ble deaktivert etter varslinger
Docker varslet berørte brukere og organisasjonseiere 2. oktober. Deretter deaktiverte selskapet overførte PAT-er 8. oktober, bortsett fra i tilfeller der eierne uttrykkelig hadde bedt om å beholde dem.
Ifølge Docker bør brukere som ikke har mottatt noe varsel, anse seg som upåvirket og trenger ikke å foreta seg noe.
Plattformen har også endret konverteringsprosessen. Den overfører ikke lenger personlige tilgangstokener og krever nå samtykke før en bruker blir utpekt som organisasjonseier.
0 responses to “Sikkerhetssårbarhet i Docker Hub muliggjorde brukerimitasjon og manipulering av avbildninger”