أصلحت Docker ثغرة أمنية حرجة في Docker Hub كانت تسمح بإعادة إسناد رموز الوصول الشخصية (PATs) إلى مالك جديد عند تحويل حساب شخصي إلى مؤسسة، من دون تدوير الرمز أو إبطاله أو الحصول على موافقة المالك الجديد. تحمل الثغرة الرقم CVE-2026-105445، واعتبرتها الشركة خطراً على سلسلة توريد البرمجيات.
أبلغ الباحثان Peter Molnar وKrisztian Hozak عن المشكلة في 30 سبتمبر 2026 عبر برنامج الإفصاح عن الثغرات، وأكدت Docker أنها نشرت الإصلاح بعد أقل من أربع ساعات، قرابة الساعة 19:10 بالتوقيت العالمي المنسق. وامتدت فترة التعرض المحتملة من 26 أغسطس 2024، عند 20:33 بالتوقيت العالمي المنسق، حتى نشر الإصلاح.
كيف كان يمكن استغلال الخلل؟
يتيح Docker Hub تحويل الحساب الشخصي إلى مؤسسة للحفاظ على مسار المستودع نفسه، مثل تحويل alice/app إلى مستودع مملوك لمؤسسة من دون كسر عمليات السحب الحالية. أثناء عملية التحويل، كان المستخدم يحدد حساباً قائماً ليصبح مالك المؤسسة الجديدة.
منذ إدخال السلوك المعيب، كانت رموز PAT التابعة للحساب المحوّل تنتقل إلى الحساب المحدد كمالك، بينما يبقى سر الرمز بحوزة منشئه ولا يُطلب من المالك الجديد تأكيد العملية أو يُخطر بها. وبذلك كان بإمكان المهاجم استخدام الرمز كأنه تابع للمالك المستهدف على مستوى سجل Docker.
وبحسب نطاق الرمز، كان ذلك قد يتيح سحب الصور أو دفعها أو حذفها من مستودعات الضحية أو المؤسسات التي يملك الضحية صلاحية الوصول إليها. أما واجهة Docker Hub نفسها فلم تكن قابلة للوصول عبر الخلل، ولم يكن بالإمكان تغيير كلمة المرور أو البريد الإلكتروني أو إعدادات المصادقة الثنائية أو الاستيلاء على الحساب.
نتائج التحقيق وإجراءات الاحتواء
راجعت Docker كل عمليات تحويل الحسابات منذ 26 أغسطس 2024، وربطتها بسجلات المصادقة واستخدام Docker Hub وسجلات إدارة الهوية والرموز. كما فحصت نحو 304 آلاف عملية دفع نُفذت باستخدام رموز منقولة، وقالت إنها لم تجد دليلاً على استغلال الثغرة.
وقعت جميع عمليات الدفع التي راجعتها الشركة داخل مستودعات المؤسسة المحوّلة أو مستودعات المالك الجديد، ولم تُسجل عمليات في حسابات أو مؤسسات غير مرتبطة. كما حللت الشركة بصورة ثابتة الصور العامة الأعلى خطراً، ولم تجد برمجيات خبيثة أو أدوات تعدين أو نشاط تحكم وسيطرة أو سرقة بيانات اعتماد أو آليات استمرارية أو عبثاً بالصور.
مع ذلك، أوضحت Docker أن سجلات السجل تُظهر استخدام الرمز ولا تثبت وجوده إذا لم يُستخدم. لذلك تعاملت مع كل رمز PAT انتقل عبر عملية التحويل خلال فترة التعرض باعتباره متأثراً، بغض النظر عن ظهور استخدام له.
ما الذي تغير عملياً؟
أوقفت Docker نقل رموز PAT نهائياً أثناء تحويل الحسابات، وأرسلت في 2 أكتوبر إشعارات إلى المستخدمين المتأثرين ومالكي المؤسسات المعنيين. وفي 8 أكتوبر عطّلت الرموز المنقولة التي حددتها، باستثناء الرموز التي طلب أصحابها الإبقاء عليها قبل الموعد النهائي.
كما أصبحت الشركة تشترط موافقة المستخدم قبل تسميته مالكاً لمؤسسة، وتبلغه عند حدوث ذلك، وستسجل تاريخاً قابلاً للتدقيق لكل تغيير في ملكية الرموز. وتراجع Docker حالياً تدفقات أخرى قد تغيّر ملكية بيانات الاعتماد بحثاً عن النمط نفسه.
توصي الشركة بمراجعة رموز الوصول الشخصية من إعدادات الحساب في Docker Hub وإبطال أي رمز غير معروف أو لم يعد مستخدماً. ولأتمتة العمل التابعة للمؤسسات، توصي باستخدام رموز الوصول الخاصة بالمؤسسات بدلاً من رمز شخصي مرتبط بفرد.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.