Sikkerhedsbrist i Docker Hub muliggjorde brugerimitation og manipulation af images

En kritisk sikkerhedsbrist i Docker Hub gjorde det muligt for angribere at udgive sig for at være andre brugere og potentielt downloade, offentliggøre eller slette container-images. Docker har rettet sårbarheden, der er registreret som CVE-2026-105445, og oplyser, at virksomhedens undersøgelse ikke fandt beviser for, at den var blevet udnyttet.

Problemet vedrørte personlige adgangstokens, der blev overført under kontokonverteringer. Fordi angribere kunne beholde et fungerende token knyttet til en anden bruger, udgjorde sårbarheden en risiko for softwareforsyningskæden.

Kontokonverteringer eksponerede brugernes repositories

Docker Hub lagrer og distribuerer container-images, som samler applikationer med de komponenter, de har brug for til at køre. Udviklere og automatiserede arbejdsgange bruger personlige adgangstokens, eller PAT’er, til at autentificere handlinger såsom download og offentliggørelse af images.

Sårbarheden påvirkede processen med at konvertere en personlig konto til en organisation. En angriber kunne oprette en konto, generere et PAT og derefter konvertere kontoen, mens en anden bruger blev angivet som organisationens ejer.

Under konverteringen overførte Docker Hub det eksisterende token til den udpegede ejer. Platformen ændrede dog hverken tokenets hemmelige værdi eller krævede, at personen godkendte overførslen.

Dermed beholdt angriberen et token, der autentificerede vedkommende som målbrugeren på containerregistreringsniveau.

Manipulation af images skabte risiko for forsyningskæden

Angriberens muligheder afhang både af tokenets adgangsomfang og målbrugerens tilladelser. Inden for disse grænser kunne tokenet give mulighed for at downloade, uploade eller slette images i repositories, som målbrugeren havde adgang til.

Denne adgang kunne også omfatte repositories, der tilhørte organisationer, hvor målbrugeren havde tilladelser.

Det afgørende var, at en angriber potentielt kunne offentliggøre et modificeret image under navnet på et legitimt repository. Brugere længere nede i distributionskæden kunne derefter downloade dette image gennem en distributionskanal, der ellers blev betragtet som pålidelig. Docker klassificerede derfor sårbarheden som kritisk.

Sikkerhedsbristen i Docker Hub gav dog ikke adgang til tjenestens webgrænseflade. Den gjorde det heller ikke muligt for angribere at ændre adgangskoder, e-mailadresser eller indstillinger for tofaktorgodkendelse.

Docker rettede problemet inden for fire timer

Sårbarheden stammede fra en ændring, der blev indført den 26. august 2024. Fra dette tidspunkt blev eksisterende PAT’er overført ved kontokonverteringer, uden at deres hemmelige værdier blev tilbagekaldt eller roteret, og uden at den nye ejers bekræftelse blev indhentet.

Docker modtog en sårbarhedsrapport den 30. september 2026. Virksomheden bekræftede problemet og implementerede en rettelse i produktionsmiljøet mindre end fire timer senere.

Som en del af undersøgelsen gennemgik Docker 304.000 uploads af images, der var autentificeret med overførte tokens. Virksomheden analyserede også offentlige images med høj risiko. Ifølge Docker afslørede disse kontroller ingen beviser for, at sårbarheden var blevet udnyttet.

Overførte tokens blev deaktiveret efter underretninger

Docker underrettede berørte brugere og organisationsejere den 2. oktober. Virksomheden deaktiverede efterfølgende overførte PAT’er den 8. oktober, undtagen i tilfælde, hvor ejerne udtrykkeligt havde anmodet om at beholde dem.

Ifølge Docker bør brugere, der ikke har modtaget nogen underretning, betragte sig som upåvirkede og behøver ikke at foretage sig noget.

Platformen har også ændret sin konverteringsproces. Den overfører ikke længere personlige adgangstokens og kræver nu samtykke, før en bruger udpeges som organisationsejer.