Docker Hub açığı iki yıl boyunca başkası adına imaj yüklemeye izin verdi

Docker, Docker Hub'da iki yılı aşkın süre boyunca bir kullanıcının kayıt defteri (registry) düzeyinde başka bir kullanıcı gibi davranmasına, yani meşru adlar altında konteyner imajı yüklemesine, çekmesine veya silmesine imkân veren kritik bir açığı kapattı. BleepingComputer ve The Hacker News'in aktardığına göre CVE-2026-105445 olarak izlenen ve GhostPat adı verilen açık, kişisel bir hesabın kuruluşa dönüştürülmesi sırasında kişisel erişim token'larının (PAT) işlenme biçiminden kaynaklanıyordu. Docker, açığın istismar edildiğine dair kanıt bulmadığını açıkladı.

Neler oldu?

BleepingComputer'ın haberine göre bir kullanıcı hesabını kuruluşa dönüştürüp başka bir kullanıcıyı sahip olarak atadığında Docker Hub, dönüştürülen hesabın PAT'lerini token gizli değerlerini değiştirmeden ve onay istemeden yeni sahibe aktarıyordu. Saldırgan hedefini sahip olarak atayarak bunu kötüye kullanabiliyor, elindeki token hedef kullanıcı adına çalışmaya başlıyordu. Docker, devredilen token'ın kapsamı dahilinde "kayıt defteri düzeyinde hedef kullanıcı gibi davrandığını" belirtti.

The Hacker News'e göre açık 26 Ağustos 2024'te ortaya çıktı ve mptrdev.com'dan araştırmacılar Peter Molnar ile Krisztian Hozak tarafından bildirildi. Docker, bildirimi 30 Eylül 2026'da doğruladıktan sonra dört saatten kısa sürede düzeltmeyi canlı sisteme aldığını söyledi. Şirket etkilenen kullanıcıları ve kuruluş sahiplerini 2 Ekim'de bilgilendirdi, tespit edilen devredilmiş token'ları sahipleri saklamak istemedikçe 8 Ekim'de devre dışı bıraktı ve güvenlik duyurusunu 12 Ekim'de yayımladı.

Teknik detaylar

The Hacker News, açığın CVSS 4.0 puanının 9,4 olduğunu aktarıyor. Docker konuyu yazılım tedarik zinciri riski olarak ele aldı; çünkü token kapsamına ve kurbanın yetkilerine bağlı olarak saldırgan, kurbanın depolarına ve erişebildiği kuruluşlara imaj yükleyebiliyordu. Açık, Docker Hub web arayüzüne erişim sağlamıyor; parola, e-posta adresi veya iki aşamalı doğrulama ayarlarının değiştirilmesine de izin vermiyordu.

Docker, devredilen token'larla yapılan yaklaşık 304 bin yüklemeyi incelediğini, bunların tamamının dönüştürülen kuruluşa veya atanan sahibine gittiğini; kaynağı belirlenemeyen yüksek riskli herkese açık imajları da analiz ettiğini ve zararlı yazılım ya da kurcalama bulmadığını söyledi. The Hacker News, duyuruda çekme ve silme işlemlerine ilişkin sonuçların yer almadığına dikkat çekiyor.

Kimler etkileniyor?

Docker etkilenen kullanıcı sayısını "sınırlı" olarak niteledi ancak rakam vermedi. BleepingComputer'a göre Docker'dan bildirim almayan kullanıcılar etkilenmediklerini varsayabilir. Düzeltme Docker Hub tarafında uygulandığı için istemci güncellemesi gerekmiyor.

Ne yapmalı?

The Hacker News'in aktardığına göre kullanıcıların hesap ayarlarındaki kişisel erişim token'larının oluşturulma ve son kullanım tarihlerini incelemesi, kendi oluşturmadığı veya artık kullanmadığı token'ları iptal etmesi ve hesap değiştiricide tanımadığı kuruluş olup olmadığını kontrol etmesi gerekiyor. Kuruluşların otomasyon için bireysel PAT yerine kuruluş erişim token'ları kullanması, Team veya Business planındaki sahiplerin de etkinlik kayıtlarında yükleme hareketlerini gözden geçirmesi öneriliyor. Docker artık bir kullanıcıyı kuruluş sahibi yapmadan önce onay istediğini, dönüşüm sırasında PAT devretmediğini ve tüm token sahipliği değişikliklerini kayıt altına aldığını açıkladı.