Docker ha hecho pública una vulnerabilidad crítica, identificada como CVE-2026-105445, que afectaba a Docker Hub y permitía a los atacantes acceder a los repositorios de contenedores de otros usuarios utilizando un token de acceso personal (PAT). Docker Hub es un registro en línea para almacenar, compartir y descargar imágenes de contenedores, que son plantillas que empaquetan todo lo necesario para ejecutar una aplicación en un entorno aislado.
En Docker Hub, un PAT es un secreto utilizado para autenticar herramientas y flujos de trabajo, y permite realizar operaciones como descargar, subir o eliminar imágenes de contenedores. Según el boletín de seguridad del equipo de Docker, un atacante podía crear una cuenta y un PAT, luego convertir la cuenta en una organización y nombrar a un usuario objetivo como su propietario.
La falla CVE-2026-105445 se originaba porque Docker Hub reasignaba un token de acceso personal (PAT) al propietario designado de la organización sin cambiar su secreto ni obtener el consentimiento del objetivo. Esto permitía al atacante usar el token para autenticarse como el usuario objetivo. Dependiendo del alcance del token y los permisos del objetivo, los atacantes podían descargar, subir o eliminar imágenes en los repositorios del objetivo y en organizaciones a las que este tuviera acceso.
Dentro del alcance del token, un PAT reasignado actuaba como el usuario objetivo a nivel de registro, lo que significa que un atacante podía potencialmente descargar, subir y/o eliminar imágenes en los repositorios del objetivo y en organizaciones donde el objetivo tuviera acceso. Dado que eso incluye publicar imágenes bajo un nombre legítimo, lo tratamos como un riesgo para la cadena de suministro de software y lo calificamos como crítico.
Aunque la falla es crítica, Docker señaló que no proporcionaba acceso web a Docker Hub ni permitía a los atacantes cambiar contraseñas, direcciones de correo electrónico o configuraciones de autenticación de dos factores, lo que podría dejar fuera a los titulares legítimos de las cuentas.
La vulnerabilidad se introdujo el 26 de agosto de 2024, cuando la conversión comenzó a reasignar el PAT de la cuenta personal al nuevo propietario. Esto ocurría sin revocar ni rotar el secreto, y sin pedir al propietario nombrado que confirmara el cambio. El 30 de septiembre de 2026, Docker recibió un informe de vulnerabilidad que describía el problema, lo confirmó y desplegó una solución en producción menos de cuatro horas después.
Docker afirma que no encontró evidencia de explotación después de examinar 304.000 subidas realizadas con tokens transferidos y analizar imágenes públicas de alto riesgo. Los usuarios y propietarios de organizaciones afectados fueron notificados el 2 de octubre, y los PAT transferidos se desactivaron el 8 de octubre, excepto aquellos cuyos propietarios solicitaron explícitamente conservarlos. Docker indica que los usuarios que no recibieron una notificación deben asumir que no se vieron afectados y que no necesitan tomar ninguna medida.
La plataforma ya no transfiere PAT durante la conversión y solicita el consentimiento del usuario antes de nombrarlo propietario de una organización.
Deja una respuesta