Una falla de Docker Hub permitió suplantar a usuarios y alterar imágenes

Docker informó de una vulnerabilidad crítica en Docker Hub que podía permitir a los atacantes usar un token de acceso personal (PAT) para acceder a los repositorios de contenedores de otro usuario. El fallo, identificado como CVE-2026-105445, podía permitir descargar, subir o eliminar imágenes, según el alcance del token y los permisos del usuario objetivo.

El problema se producía cuando un atacante creaba una cuenta y un PAT, convertía la cuenta en una organización y designaba a un usuario objetivo como propietario. Docker Hub reasignaba el PAT a ese propietario sin cambiar su secreto ni pedir su consentimiento. Después, el token podía autenticarse como el usuario objetivo en el registro y permitir potencialmente publicar imágenes bajo un nombre legítimo. Docker calificó el fallo de crítico y lo describió como un riesgo para la cadena de suministro de software.

Docker indicó que el fallo no daba acceso al sitio web de Docker Hub ni permitía cambiar contraseñas, direcciones de correo electrónico o ajustes de autenticación en dos pasos. La vulnerabilidad se introdujo el 26 de agosto de 2024. Docker recibió un informe el 30 de septiembre de 2026, confirmó el problema y desplegó una corrección en producción en menos de cuatro horas.

Docker afirmó que no encontró indicios de explotación tras examinar 304.000 subidas realizadas con tokens transferidos y analizar imágenes públicas de alto riesgo. La empresa notificó a los usuarios afectados y a los propietarios de organizaciones el 2 de octubre. Desactivó los PAT transferidos el 8 de octubre, salvo aquellos cuyos propietarios pidieron expresamente conservarlos. Docker dijo que quienes no recibieron una notificación pueden asumir que no se vieron afectados y no necesitan hacer nada. La plataforma ya no transfiere PAT durante la conversión y solicita consentimiento antes de nombrar a alguien propietario de una organización.