Docker Hub açığı saldırganların kullanıcıları taklit etmesine ve görselleri değiştirmesine olanak tanıdı

Docker, saldırganların kişisel erişim belirteci (PAT) kullanarak başka kullanıcıların Docker Hub’daki kapsayıcı depolarına erişmesine olanak tanıyabilecek kritik bir güvenlik açığı duyurdu. CVE-2026-105445 olarak izlenen açık, belirtecin kapsamına ve hedef kullanıcının izinlerine bağlı olarak görsellerin indirilmesine, yüklenmesine veya silinmesine imkân verebilirdi.

Sorun, saldırganın bir hesap ve PAT oluşturup hesabı kuruluşa dönüştürmesi ve hedef kullanıcıyı kuruluş sahibi olarak belirlemesiyle ortaya çıkıyordu. Docker Hub, belirtecin gizli değerini değiştirmeden ve sahibinin onayını almadan PAT’yi bu kişiye aktarıyordu. Belirteç daha sonra kayıt defteri düzeyinde hedef kullanıcı olarak kimlik doğrulayabiliyor, böylece görsellerin meşru bir ad altında yayımlanmasına yol açabiliyordu. Docker açığı kritik olarak derecelendirdi ve yazılım tedarik zinciri riski olarak nitelendirdi.

Docker, açığın Docker Hub web sitesine erişim sağlamadığını ve saldırganların parolaları, e-posta adreslerini veya iki aşamalı doğrulama ayarlarını değiştirmesine izin vermediğini söyledi. Açık 26 Ağustos 2024’te ortaya çıktı. Docker, 30 Eylül 2026’da bir güvenlik açığı bildirimi aldı, sorunu doğruladı ve dört saatten kısa sürede üretim ortamına düzeltme yayımladı.

Docker, aktarılan belirteçlerle yapılan 304.000 yüklemeyi inceleyip yüksek riskli herkese açık görselleri analiz ettikten sonra istismar kanıtı bulamadığını belirtti. Etkilenen kullanıcılarla kuruluş sahiplerine 2 Ekim’de bildirim gönderdi. Sahiplerinin açıkça saklanmasını istediği belirteçler dışında, aktarılan PAT’ler 8 Ekim’de devre dışı bırakıldı. Docker, bildirim almayan kullanıcıların etkilenmediklerini varsayabileceğini ve işlem yapmalarının gerekmediğini söyledi. Platform artık dönüşüm sırasında PAT aktarmıyor ve birini kuruluş sahibi olarak belirlemeden önce onayını istiyor.