Docker har avdekket en kritisk sårbarhet, CVE-2026-105445, i Docker Hub. Feilen kunne gi angripere tilgang til en annen brukers containerregistre ved hjelp av et personlig tilgangstoken (PAT).

Docker Hub er en nettbasert tjeneste for lagring, deling og nedlasting av containerbilder – maler som inneholder det som trengs for å kjøre en applikasjon i et isolert miljø. Et PAT fungerer som en hemmelighet for å autentisere verktøy og arbeidsflyter, og kan brukes til å hente, laste opp eller slette containerbilder.

Tokenet ble knyttet til feil bruker

Ifølge et sikkerhetsvarsel fra Docker kunne en angriper opprette en konto og et PAT, gjøre kontoen om til en organisasjon og angi en målbruker som eier. Sårbarheten oppsto fordi Docker Hub knyttet det personlige tilgangstokenet til den utpekte organisasjonseieren uten å endre hemmeligheten eller innhente brukerens samtykke.

Dermed kunne angriperen bruke tokenet til å autentisere seg som målbrukeren. Avhengig av tokenets omfang og målbrukerens tillatelser kunne angriperen hente, laste opp eller slette bilder i målbrukerens repositorier og i organisasjoner som målbrukeren hadde tilgang til.

«Innenfor tokenets omfang fungerte et omtilordnet PAT som målbrukeren på registernivå. Det betydde at en angriper potensielt kunne hente, laste opp og/eller slette bilder i målbrukerens repositorier og i organisasjoner der målbrukeren hadde tilgang», forklarte Docker.

Docker omtaler dette som en risiko for programvareforsyningskjeden, fordi feilen kunne gjøre det mulig å publisere bilder under et legitimt navn. Selskapet vurderte derfor sårbarheten som kritisk.

Ga ikke tilgang til innstillinger på nett

Selv om sårbarheten var kritisk, opplyste Docker at den ikke ga tilgang til Docker Hubs nettgrensesnitt. Den gjorde heller ikke angripere i stand til å endre passord, e-postadresser eller tofaktorinnstillinger – handlinger som potensielt kunne ha låst de legitime kontoinnehaverne ute.

Sårbarheten ble introdusert 26. august 2024, da konverteringen begynte å knytte PAT-et fra den personlige kontoen til den nye eieren. Dette skjedde uten at hemmeligheten ble tilbakekalt eller rotert, og uten at den navngitte eieren ble bedt om å bekrefte endringen.

Fant ingen tegn til misbruk

Docker mottok en sårbarhetsrapport 30. september 2026. Selskapet bekreftet problemet og la ut en rettelse i produksjon mindre enn fire timer senere.

Etter å ha undersøkt 304 000 opplastinger gjort med overførte token og analysert offentlige bilder med høy risiko, sier Docker at selskapet ikke fant bevis på at sårbarheten var utnyttet.

Berørte brukere og organisasjonseiere ble varslet 2. oktober. Overførte PAT-er ble deaktivert 8. oktober, med unntak av token som eierne uttrykkelig ba om å beholde.

Docker sier at brukere som ikke mottok varsel, bør anta at de ikke var berørt og ikke trengte å foreta seg noe. Plattformen overfører ikke lenger PAT-er ved konvertering, og ber nå om brukerens samtykke før noen utpekes som eier av en organisasjon.