Sårbarhet i Docker Hub lät angripare utge sig för att vara användare och ändra avbildningar

Docker uppgav att en kritisk sårbarhet i Docker Hub kunde låta angripare använda en personlig åtkomsttoken (PAT) för att komma åt en annan användares containerregister. Felet, med beteckningen CVE-2026-105445, kunde göra det möjligt att hämta, publicera eller radera avbildningar, beroende på tokenens omfattning och den utpekade användarens behörigheter.

Problemet uppstod när en angripare skapade ett konto och en PAT, omvandlade kontot till en organisation och angav en målanvändare som ägare. Docker Hub tilldelade då om PAT:en till ägaren utan att ändra dess hemlighet eller be om ägarens samtycke. Token kunde sedan autentisera som målanvändaren i registret och potentiellt användas för att publicera avbildningar under ett legitimt namn. Docker klassade felet som kritiskt och beskrev det som en risk för leveranskedjan för programvara.

Docker sade att felet inte gav åtkomst till Docker Hubs webbplats och inte gjorde det möjligt att ändra lösenord, e-postadresser eller inställningar för tvåfaktorsautentisering. Sårbarheten infördes den 26 augusti 2024. Docker tog emot en rapport den 30 september 2026, bekräftade felet och driftsatte en korrigering på mindre än fyra timmar.

Docker uppgav att företaget inte hittade några tecken på utnyttjande efter att ha granskat 304 000 publiceringar med överförda token och analyserat offentliga avbildningar med hög risk. Berörda användare och organisationsägare underrättades den 2 oktober. Överförda PAT:er inaktiverades den 8 oktober, med undantag för dem vars ägare uttryckligen begärt att behålla dem. Docker sade att användare som inte fått någon avisering kan utgå från att de inte påverkats och inte behöver göra något. Plattformen överför inte längre PAT:er vid konvertering och begär samtycke innan någon utses till organisationsägare.