Docker 12 октября раскрыла критическую уязвимость CVE-2026-105445 в Docker Hub — сервисе хранения контейнерных образов. Ошибку исправили 30 сентября, менее чем через четыре часа после сообщения исследователей Петера Молнара и Кристиана Хозака.
Уязвимость позволяла действовать с правами другого пользователя и в пределах его разрешений скачивать, публиковать или удалять образы. Docker уведомила потенциально затронутых пользователей 2 октября, а 8 октября отключила связанные с ошибкой токены, кроме тех, которые владельцы попросили сохранить.
Как работала ошибка
При переводе личного аккаунта Docker Hub в организацию пользователь назначает владельцем другой аккаунт. С 26 августа 2024 года сервис также перепривязывал к нему персональные токены доступа (PAT), не меняя их секреты и не запрашивая согласия нового владельца.
Читайте также
Злоумышленник мог создать аккаунт и токен, перевести аккаунт в организацию и назначить владельцем жертву. Секрет оставался у злоумышленника, а токен начинал действовать с правами жертвы. Это позволяло менять контейнерные образы под легитимным именем и создавало риск для цепочки поставок ПО.
Доступа к веб-интерфейсу ошибка не давала. С её помощью нельзя было изменить пароль, электронную почту или настройки двухфакторной аутентификации.
Нашли ли реальные атаки
Docker проверила все переводы аккаунтов с момента появления ошибки и около 304 тысяч публикаций образов с такими токенами. Компания не нашла признаков эксплуатации, вредоносного ПО, майнеров, кражи учётных данных или подмены содержимого.
Однако журналы показывают использование токена, но не его существование. Поэтому Docker сочла потенциально затронутыми все токены, перепривязанные таким способом.
Что это значит
- Если вы получили письмо Docker Hub Vulnerability Identified & Resolved, откройте Account settings → Personal access tokens. Найдите указанные в письме токены по описанию и дате создания, проверьте последнее использование и отзовите незнакомые или ненужные.
- Если письмо не приходило, Docker утверждает, что ваш аккаунт и администрируемые вами организации не были затронуты. Действия не требуются.
- Для автоматизации организации Docker рекомендует использовать токены организации, а не токен отдельного сотрудника.
Docker прекратила перепривязывать персональные токены при переводе аккаунта, ввела согласие на назначение владельцем организации и начала сохранять историю смены владельцев токенов.