Docker, Docker Hub'da kişisel bir hesap kuruluşa dönüştürüldüğünde kişisel erişim belirteçlerinin (PAT'ler) belirteç döndürülmeden, iptal edilmeden veya yeni sahibin onayı alınmadan yeni bir sahibine yeniden atanmasına izin veren kritik bir güvenlik açığını giderdi. CVE-2026-105445 numarasını taşıyan açık, şirket tarafından yazılım tedarik zinciri riski olarak değerlendirildi.
Araştırmacılar Peter Molnar ve Krisztian Hozak, sorunu 30 Eylül 2026'da güvenlik açığı bildirim programı aracılığıyla bildirdi. Docker, düzeltmeyi dört saatten kısa bir süre sonra, yaklaşık olarak Eşgüdümlü Evrensel Zaman'a göre 19:10'da yayımladığını doğruladı. Olası maruz kalma dönemi, 26 Ağustos 2024'te Eşgüdümlü Evrensel Zaman'a göre 20:33'te başlayıp düzeltmenin yayımlanmasına kadar sürdü.
Açık nasıl istismar edilebilirdi?
Docker Hub, mevcut depo yolunu korumak amacıyla kişisel hesabın kuruluşa dönüştürülmesine izin verir; örneğin mevcut çekme işlemlerini bozmadan alice/app adresini bir kuruluşa ait depoya dönüştürmek mümkündür. Dönüştürme işlemi sırasında kullanıcı, yeni kuruluşun sahibi olması için mevcut bir hesap belirliyordu.
Hatalı davranışın devreye alınmasından itibaren dönüştürülen hesaba ait PAT'ler, sahip olarak belirlenen hesaba aktarılıyordu; ancak belirtecin sırrı belirteci oluşturan kişinin elinde kalıyor, yeni sahibin işlemi onaylaması gerekmiyor ve yeni sahip işlem hakkında bilgilendirilmiyordu. Böylece saldırgan, belirteci Docker kayıt defteri düzeyinde hedef sahibine aitmiş gibi kullanabiliyordu.
Belirtecin kapsamına bağlı olarak bu durum, mağdurun depolarından veya mağdurun erişim yetkisine sahip olduğu kuruluşların depolarından imajların çekilmesine, gönderilmesine ya da silinmesine olanak sağlayabilirdi. Ancak Docker Hub arayüzüne açığın üzerinden erişilemiyordu; parola, e-posta adresi veya iki faktörlü kimlik doğrulama ayarları değiştirilemiyor ve hesap ele geçirilemiyordu.
Soruşturmanın sonuçları ve sınırlama önlemleri
Docker, 26 Ağustos 2024'ten bu yana gerçekleştirilen tüm hesap dönüştürme işlemlerini inceledi ve bunları kimlik doğrulama kayıtları, Docker Hub kullanım kayıtları ile kimlik ve belirteç yönetimi kayıtlarıyla ilişkilendirdi. Ayrıca aktarılan belirteçler kullanılarak gerçekleştirilen yaklaşık 304 bin gönderme işlemini inceledi ve açığın istismar edildiğine dair kanıt bulamadığını söyledi.
Şirketin incelediği tüm gönderme işlemleri, dönüştürülen kuruluşun depoları veya yeni sahibin depoları içinde gerçekleşti; bağlantısız hesaplarda veya kuruluşlarda herhangi bir işlem kaydedilmedi. Şirket ayrıca en yüksek risk taşıyan herkese açık imajları sürekli olarak analiz etti ve kötü amaçlı yazılım, madencilik araçları, komuta ve kontrol faaliyeti, kimlik bilgisi hırsızlığı, kalıcılık mekanizmaları veya imajlarda oynama bulmadı.
Bununla birlikte Docker, kayıt defteri günlüklerinin belirtecin kullanıldığını gösterdiğini, kullanılmadıysa varlığını kanıtlamadığını açıkladı. Bu nedenle şirket, kullanımının görünüp görünmediğine bakılmaksızın, maruz kalma dönemi boyunca dönüştürme işlemiyle aktarılan her PAT'yi etkilenmiş kabul etti.
Uygulamada ne değişti?
Docker, hesap dönüştürme işlemleri sırasında PAT aktarımını tamamen durdurdu ve 2 Ekim'de etkilenen kullanıcılara ve ilgili kuruluş sahiplerine bildirim gönderdi. 8 Ekim'de, son tarihten önce sahiplerinin korunmasını istediği belirteçler dışında, tespit ettiği aktarılan belirteçleri devre dışı bıraktı.
Şirket ayrıca bir kullanıcıyı kuruluş sahibi olarak adlandırmadan önce kullanıcının onayını almayı ve bu gerçekleştiğinde kullanıcıyı bilgilendirmeyi zorunlu kıldı; belirteç sahipliğindeki her değişiklik için denetlenebilir bir geçmiş de kaydedecek. Docker şu anda aynı örüntüyü aramak amacıyla kimlik bilgilerine ilişkin sahipliği değiştirebilecek diğer akışları inceliyor.
Şirket, Docker Hub'daki hesap ayarlarından kişisel erişim belirteçlerinin gözden geçirilmesini ve bilinmeyen ya da artık kullanılmayan tüm belirteçlerin iptal edilmesini öneriyor. Kuruluşlara ait otomasyonlar için ise bir kişiye bağlı kişisel belirteç yerine kuruluş erişim belirteçlerinin kullanılmasını tavsiye ediyor.