Docker Hub, CVE-2026-105445: token trasferiti permettevano di impersonare utenti

• Falla critica CVE-2026-105445 in Docker Hub: PAT trasferiti nelle conversioni account-organizzazione
• Possibile impersonare utenti sul registry; nessun accesso al sito né cambio di password o 2FA
• Corretta il 30 settembre 2026; Docker non ha trovato prove di sfruttamento
• Revocare i PAT sconosciuti e usare organization access token per l'automazione

Docker ha reso noto un difetto critico in Docker Hub, tracciato come CVE-2026-105445. Permetteva a un attaccante di impersonare altri utenti e pubblicare immagini container con nomi considerati affidabili. L’azienda ha risolto il problema il 30 settembre 2026 e afferma di non aver trovato prove di sfruttamento.

Come funzionava la falla

Docker Hub consente di convertire un account personale in un’organizzazione, mantenendo i nomi dei repository. Così le immagini referenziate da applicazioni e sistemi di build restano valide. Durante la conversione si indica un account esistente come owner dell’organizzazione.

Dal 26 agosto 2024 il processo trasferiva al nuovo owner anche i personal access token (PAT) dell’account originale. Docker cambiava il titolare del token, ma non il suo segreto e non lo revocava. Il nuovo owner non doveva approvare il passaggio e non riceveva alcuna notifica.

Un attaccante poteva quindi creare un account, generare un PAT e convertire l’account in organizzazione, indicando la vittima come owner. Conoscendo ancora il segreto, poteva autenticarsi al registry come la vittima. In base ai permessi del token e dell’utente, poteva scaricare, pubblicare o eliminare immagini nei repository personali e nelle organizzazioni collegate.

Si tratta di un errore nella gestione della proprietà delle credenziali, non del furto di una password. Il rischio è di supply chain: chi usa un’immagine legittima potrebbe ricevere codice inatteso.

Limiti dell’impatto

• I token non davano accesso al sito web di Docker Hub.
• Non era possibile cambiare password, email o impostazioni di autenticazione a due fattori della vittima.
• Non si trattava di una presa di controllo completa dell’account.

Secondo Docker, la finestra di esposizione va dal 26 agosto 2024 (20:33 UTC) al 30 settembre 2026 (circa 19:10 UTC), quando il fix è andato in produzione.

Segnalazione e indagine

La vulnerabilità è stata segnalata tramite il programma di disclosure di Docker dai ricercatori Peter Molnar e Krisztian Hozak di mptrdev.com. Docker l’ha riprodotta con account di prova interni e ha distribuito la correzione in meno di quattro ore dalla segnalazione.

L’azienda ha rivisto tutte le conversioni di account dalla comparsa del difetto, esaminando log di autenticazione, dati d’uso e record dei token. Ha analizzato circa 304.000 push di immagini effettuati con token trasferiti. Tutti erano diretti a repository dell’organizzazione convertita o del nuovo owner, nessuno verso account non correlati. Le immagini pubbliche a maggior rischio sono state ispezionate senza eseguirle: nessuna traccia di malware, cryptominer, furto di credenziali, persistenza o manomissioni.

I log registrano però l’uso dei token, non la loro esistenza. Per prudenza, Docker ha considerato potenzialmente coinvolto ogni PAT trasferito, anche se mai comparso nei log.

Cosa è cambiato e cosa fare

Il 2 ottobre Docker ha avvisato utenti e owner di organizzazioni esposti. L’8 ottobre ha disattivato i token trasferiti, tranne quelli che gli owner hanno chiesto di mantenere. La conversione non trasferisce più i PAT. Docker sta inoltre introducendo consenso dell’owner, notifiche e registri dei cambi di proprietà dei token.

Chi non ha ricevuto notifiche non era esposto e non deve intraprendere azioni specifiche. Docker raccomanda di revocare i PAT sconosciuti o inutilizzati e di usare gli organization access token per l’automazione a livello di organizzazione.

Fonte: Cyber Security News · Foto: Cyber Security News