Docker a corrigé une faille de sécurité critique dans Docker Hub qui permettait de réattribuer des jetons d’accès personnels (PAT) à un nouveau propriétaire lors de la conversion d’un compte personnel en organisation, sans faire tourner le jeton, l’invalider ni obtenir l’autorisation du nouveau propriétaire. La faille porte le numéro CVE-2026-105445 et l’entreprise l’a considérée comme un risque pour la chaîne d’approvisionnement logicielle.
Les chercheurs Peter Molnar et Krisztian Hozak ont signalé le problème le 30 septembre 2026 via le programme de divulgation des vulnérabilités, et Docker a confirmé avoir publié le correctif moins de quatre heures plus tard, vers 19 h 10 UTC. La période d’exposition potentielle s’étendait du 26 août 2024 à 20 h 33 UTC jusqu’à la publication du correctif.
Comment la faille pouvait-elle être exploitée ?
Docker Hub permet de convertir un compte personnel en organisation afin de conserver le même chemin de dépôt, par exemple en transformant alice/app en un dépôt appartenant à une organisation sans interrompre les opérations de récupération existantes. Lors de la conversion, l’utilisateur désignait un compte existant pour devenir propriétaire de la nouvelle organisation.
Depuis l’introduction du comportement défectueux, les jetons PAT associés au compte converti étaient transférés au compte désigné comme propriétaire, tandis que le secret du jeton restait en possession de son créateur. Le nouveau propriétaire n’avait pas à confirmer l’opération et n’en était pas informé. Un attaquant pouvait ainsi utiliser le jeton comme s’il appartenait au propriétaire ciblé au niveau du registre Docker.
Selon la portée du jeton, cela pouvait permettre de récupérer, de pousser ou de supprimer des images dans les dépôts de la victime ou dans les organisations auxquelles la victime avait accès. En revanche, l’interface Docker Hub elle-même n’était pas accessible par l’intermédiaire de la faille, et il n’était pas possible de modifier le mot de passe, l’adresse e-mail ou les paramètres d’authentification à deux facteurs, ni de prendre le contrôle du compte.
Résultats de l’enquête et mesures de confinement
Docker a examiné toutes les conversions de comptes effectuées depuis le 26 août 2024 et les a mises en relation avec les journaux d’authentification, d’utilisation de Docker Hub, de gestion des identités et des jetons. L’entreprise a également examiné environ 304 000 opérations de poussée exécutées à l’aide de jetons transférés et a déclaré n’avoir trouvé aucune preuve d’exploitation de la faille.
Toutes les opérations de poussée examinées par l’entreprise ont eu lieu dans les dépôts de l’organisation convertie ou dans ceux du nouveau propriétaire, et aucune opération n’a été enregistrée dans des comptes ou des organisations non liés. L’entreprise a également analysé en continu les images publiques présentant le risque le plus élevé et n’a trouvé ni logiciel malveillant, ni outils de minage, ni activité de commande et de contrôle, ni vol d’identifiants, ni mécanismes de persistance, ni altération des images.
Docker a néanmoins expliqué que les journaux du registre montrent l’utilisation du jeton, mais ne prouvent pas son existence s’il n’a pas été utilisé. L’entreprise a donc considéré comme affecté tout jeton PAT transféré lors d’une conversion pendant la période d’exposition, indépendamment de l’existence de traces d’utilisation.
Qu’est-ce qui a changé en pratique ?
Docker a définitivement cessé de transférer les jetons PAT lors de la conversion des comptes et a envoyé, le 2 octobre, des notifications aux utilisateurs concernés et aux propriétaires des organisations concernées. Le 8 octobre, l’entreprise a désactivé les jetons transférés qu’elle avait identifiés, à l’exception de ceux dont les propriétaires avaient demandé le maintien avant la date limite.
L’entreprise exige désormais le consentement de l’utilisateur avant de le désigner comme propriétaire d’une organisation et l’en informe lorsque cela se produit. Elle enregistrera également un historique auditable de chaque changement de propriété des jetons. Docker examine actuellement d’autres flux susceptibles de modifier la propriété des identifiants afin de rechercher le même type de problème.
L’entreprise recommande de vérifier les jetons d’accès personnels dans les paramètres du compte Docker Hub et de révoquer tout jeton inconnu ou qui n’est plus utilisé. Pour l’automatisation des tâches des organisations, elle recommande d’utiliser des jetons d’accès d’organisation plutôt qu’un jeton personnel associé à un individu.