Docker hat eine kritische Sicherheitslücke in Docker Hub behoben, durch die persönliche Zugriffstokens (PATs) bei der Umwandlung eines persönlichen Kontos in eine Organisation einem neuen Eigentümer zugewiesen werden konnten, ohne das Token zu rotieren oder zu widerrufen oder die Zustimmung des neuen Eigentümers einzuholen. Die Schwachstelle trägt die Nummer CVE-2026-105445 und wurde vom Unternehmen als Risiko für die Software-Lieferkette eingestuft.
Die Forscher Peter Molnar und Krisztian Hozak meldeten das Problem am 30. September 2026 über das Programm zur Meldung von Schwachstellen. Docker bestätigte, dass das Unternehmen die Behebung weniger als vier Stunden später, gegen 19:10 Uhr koordinierter Weltzeit, veröffentlicht hatte. Der mögliche Zeitraum der Gefährdung erstreckte sich vom 26. August 2024 um 20:33 Uhr koordinierter Weltzeit bis zur Veröffentlichung der Behebung.
Wie hätte der Fehler ausgenutzt werden können?
Docker Hub ermöglicht die Umwandlung eines persönlichen Kontos in eine Organisation, um den bestehenden Repository-Pfad beizubehalten, beispielsweise durch die Umwandlung von alice/app in ein Repository im Besitz einer Organisation, ohne bestehende Pull-Vorgänge zu unterbrechen. Während des Umwandlungsvorgangs bestimmte der Benutzer ein bestehendes Konto, das Eigentümer der neuen Organisation werden sollte.
Seit der Einführung des fehlerhaften Verhaltens wurden die PATs des umgewandelten Kontos auf das als Eigentümer bestimmte Konto übertragen, während das Geheimnis des Tokens bei seinem Ersteller blieb. Der neue Eigentümer musste den Vorgang weder bestätigen noch wurde er darüber benachrichtigt. Dadurch hätte ein Angreifer das Token auf Ebene der Docker-Registry so verwenden können, als gehöre es dem anvisierten Eigentümer.
Je nach Umfang des Tokens hätte dies das Abrufen, Übertragen oder Löschen von Images aus den Repositories des Opfers oder aus Organisationen ermöglichen können, auf die das Opfer Zugriff hatte. Die Docker-Hub-Oberfläche selbst war über die Schwachstelle nicht zugänglich. Ebenso konnten weder das Passwort noch die E-Mail-Adresse, die Einstellungen der Zwei-Faktor-Authentifizierung oder das Konto übernommen werden.
Untersuchungsergebnisse und Eindämmungsmaßnahmen
Docker überprüfte alle Kontoumwandlungen seit dem 26. August 2024 und verknüpfte sie mit Authentifizierungsprotokollen, Docker-Hub-Nutzungsdaten sowie Protokollen zur Identitäts- und Tokenverwaltung. Außerdem untersuchte das Unternehmen rund 304.000 Push-Vorgänge, die mit übertragenen Tokens durchgeführt wurden, und erklärte, keine Hinweise auf eine Ausnutzung der Schwachstelle gefunden zu haben.
Alle von dem Unternehmen überprüften Push-Vorgänge erfolgten innerhalb der umgewandelten Organisations-Repositories oder der Repositories des neuen Eigentümers. Vorgänge in nicht zugehörigen Konten oder Organisationen wurden nicht festgestellt. Zudem analysierte das Unternehmen kontinuierlich die öffentlichen Images mit dem höchsten Risiko und fand weder Schadsoftware noch Mining-Tools, Command-and-Control-Aktivitäten, den Diebstahl von Zugangsdaten, Persistenzmechanismen oder Manipulationen an Images.
Docker wies jedoch darauf hin, dass Registry-Protokolle die Nutzung eines Tokens zeigen, aber dessen Vorhandensein nicht nachweisen, wenn es nicht verwendet wurde. Daher behandelte das Unternehmen jedes PAT, das während des Gefährdungszeitraums durch einen Umwandlungsvorgang übertragen wurde, unabhängig von einem erkennbaren Gebrauch als betroffen.
Was hat sich praktisch geändert?
Docker hat die Übertragung von PATs während der Kontoumwandlung vollständig eingestellt und am 2. Oktober Benachrichtigungen an die betroffenen Benutzer und die zuständigen Organisationsinhaber gesendet. Am 8. Oktober deaktivierte das Unternehmen die von ihm identifizierten übertragenen Tokens, mit Ausnahme der Tokens, deren Besitzer vor Ablauf der Frist um ihre Beibehaltung gebeten hatten.
Außerdem verlangt das Unternehmen nun die Zustimmung eines Benutzers, bevor dieser als Eigentümer einer Organisation benannt wird, und benachrichtigt ihn, wenn dies geschieht. Docker wird zudem einen prüfbaren Verlauf für jede Änderung der Token-Eigentümerschaft aufzeichnen. Derzeit überprüft das Unternehmen weitere Abläufe, die die Eigentümerschaft von Zugangsdaten ändern könnten, auf dasselbe Muster.
Das Unternehmen empfiehlt, die persönlichen Zugriffstokens in den Kontoeinstellungen von Docker Hub zu überprüfen und jedes unbekannte oder nicht mehr verwendete Token zu widerrufen. Für die Automatisierung von Aufgaben im Auftrag von Organisationen empfiehlt es die Verwendung von Organisationszugriffstokens anstelle eines persönlichen Tokens, das mit einer Einzelperson verknüpft ist.