Docker исправила ошибку Docker Hub, позволявшую публиковать образы от чужого имени
Изображение: OpenAI
Docker исправила критическую уязвимость CVE-2026-105445 в онлайн-реестре контейнерных образов Docker Hub, позволявшую публиковать и удалять чужие образы из-за ошибки при переносе токенов доступа, сообщает BleepingComputer.
Злоумышленник мог создать учётную запись и персональный токен доступа (PAT), затем преобразовать аккаунт в организацию и назначить жертву её владельцем. Docker Hub привязывал прежний токен к жертве, не меняя его секретное значение и не запрашивая её согласия. После этого атакующий мог обращаться к реестру от её имени. Его возможности зависели от прав токена и жертвы: доступ мог распространяться как на её репозитории, так и на репозитории организаций, к которым она имела доступ.
Docker сочла возможность публиковать образы под чужим именем риском для цепочки поставок ПО и поэтому оценила уязвимость как критическую. При этом уязвимость не давала доступа к веб-интерфейсу Docker Hub и не позволяла менять пароль или настройки двухфакторной аутентификации.
Ошибка появилась 26 августа 2024 года. Docker получила сообщение о ней 30 сентября 2026 года и устранила уязвимость менее чем через четыре часа. Компания проверила 304 тыс. операций публикации образов с перенесёнными токенами и проанализировала общедоступные образы с высоким риском. По заявлению Docker, признаков эксплуатации она не обнаружила.
Затронутых пользователей и владельцев организаций уведомили 2 октября; по словам Docker, тем, кто уведомления не получил, следует считать, что их это не затронуло, и ничего делать не нужно. Перенесённые токены отключили 8 октября, кроме тех, которые владельцы явно попросили сохранить.
Теперь Docker Hub не переносит PAT при преобразовании аккаунта в организацию и запрашивает согласие пользователя, прежде чем назначить его её владельцем.
