Docker

Docker Hub security advisory: personal access tokens transferred during account-to-organization conversions

6.9内容质量

TL;DR · AI 摘要

Docker Hub Security Advisory: CVE-2026-105445 Docker Docker Hub security advisory: personal access tokens transferred du...

核心要点

  • 主题聚焦：Docker Hub security advisory: personal access to
  • 来源：Docker，建议结合原文判断细节。
  • AI 分析暂不可用，本条为保底评分与摘要。
#AI#编程#云计算#安全#产品
打开原文

Docker Hub 安全公告：CVE-2026-105445 | Docker

Docker Hub 安全公告：账户到组织转换过程中个人访问令牌的传输

发布于 2026 年 10 月 12 日

Mark Lechner

2026 年 9 月 30 日，安全研究人员通过我们的漏洞披露计划报告了 Docker Hub 身份和访问管理中的一个漏洞。我们确认了该报告，并在当天下午（接收到报告不到四小时后）将修复措施部署到生产环境。随后，我们回溯审查了自该漏洞引入以来的所有账户转换记录，并于 10 月 2 日通知了所有可能受到此漏洞影响的用户和组织所有者。本文将解释该漏洞的具体内容、其潜在影响范围、我们发现的问题以及已采取的改进措施。

我们感谢 mptrdev.com 的 Peter Molnar 和 Krisztian Hozak 发现了该问题并负责任地进行了报告，同时与我们协调披露事宜。他们的技术分析文章可在 ghostpat.com 查阅。该问题已被记录为 CVE-2026-105445。

我或我组织的成员是否暴露在该漏洞影响范围内？

2026 年 10 月 2 日美国东部时间下午 5:30，我们向少数暴露在该漏洞影响范围内的用户发送了主题为“Docker Hub 漏洞已识别并修复”的电子邮件。如果您未收到此邮件，您和您管理的组织中的任何成员均未受到影响，您无需采取任何行动。

漏洞的具体情况

Docker Hub 允许用户将个人账户转换为组织。人们之所以这么做，是因为 Hub 无法在不同账户之间迁移仓库：转换是实现 alice/app 从个人账户变为组织所有 alice/app 的唯一方式，而不会破坏所有引用该仓库的 Docker 拉取操作。在转换过程中，用户会指定一个现有的 Docker Hub 账户作为新组织的所有者。

自 2024 年 8 月 26 日起，转换操作还会将被转换账户的个人访问令牌（PAT）重新分配给新所有者。该操作通过修改令牌的所有者记录实现，但未对令牌密钥进行轮换或撤销。被指定为所有者的用户未被要求确认，也未收到任何通知。这两个漏洞的结合导致了以下情况：

  • 攻击者创建一个账户并在其上生成一个 PAT。
  • 攻击者将该账户转换为组织，并指定一个目标用户作为所有者。
  • 攻击者的 PAT 被重新分配给目标用户。攻击者仍持有密钥，且 PAT 现在以目标用户的权限范围保持活动状态。
  • 该令牌现在可以以目标用户身份向注册表进行身份验证。

攻击者能做什么和不能做什么

在令牌权限范围内，重新分配的 PAT 在注册表层面具有目标用户的权限，这意味着攻击者可能能够拉取、推送和/或删除目标用户的仓库以及目标用户有访问权限的组织中的镜像。由于这包括以合法名称发布镜像，我们将其视为软件供应链风险，并将其严重性评级为“关键”。

该漏洞未提供对 Docker Hub 网页界面的访问权限，也无法用于更改目标用户的密码、电子邮件地址、双因素验证设置或接管账户。

暴露时间窗口从 2024 年 8 月 26 日 20:33 UTC 开始，直至 2026 年 9 月 30 日修复措施部署后（约 19:10 UTC）结束。

时间线（所有时间均为美国东部时间）

  • 9月30日，约下午1:30：我们使用内部测试账户独立复现了该问题。
  • 9月30日，约下午3:10：修复已部署到生产环境，并已通过原始概念验证进行验证。转换操作不再传输PAT（个人访问令牌）。
  • 9月30日，约下午3:23：文档已更新，明确说明PAT不会被传输，新所有者必须重新创建PAT，建议使用组织访问令牌。
  • 9月30日，下午4:59：研究人员已被告知修复情况。双方同意协调披露信息。
  • 10月2日，下午5:30：受影响用户及其组织所有者已通过电子邮件通知。
  • 10月8日，下午3:45：强制停用所有通过转换传输的PAT（除非账户持有人主动选择退出）。

我们调查和发现的内容

我们列出了自2024年8月26日以来执行的所有账户转换，并将其与注册表认证日志、Docker Hub使用数据和IAM令牌记录进行关联分析。我们查找了任何在多个身份下使用的令牌，并检查了所有通过转换令牌推送的记录，总计约304,000次。

我们未发现该漏洞被利用的证据。

  • 所有通过转换令牌推送的内容均位于转换后的组织自有仓库或新所有者自有仓库中，没有进入任何无关用户或组织的账户。在绝大多数情况下，被转换的账户和被指定为所有者的账户属于同一人或团队，这是该功能的正常合法使用场景。
  • 我们对风险最高的公共镜像进行了静态分析（未执行这些镜像）：针对那些在转换后无法确认同一人控制两个账户的镜像。未发现恶意软件、加密货币挖矿程序、命令与控制活动、凭证窃取、持久化机制或篡改行为。
  • 我们未发现Docker自身的基础设施或服务受到影响。

我们还想明确说明该结论的局限性：注册表日志仅能显示令牌何时被使用，而非令牌是否存在。因此，如果某个传输的令牌从未被使用过，将不会留下任何痕迹。正因如此，我们未依赖检测来判断哪些用户受到影响。我们对在该时间段内通过转换传输的所有PAT均视为潜在受影响对象，无论是否观察到其被使用。

我们为受影响用户采取的措施

10月2日，我们通过电子邮件通知了少量收到传输PAT的用户。每封邮件中均列出了相关令牌的描述和创建日期，方便用户在Docker Hub中查找。我们还单独通知了相关组织的所有者。10月8日下午3:45 EST，我们停用了已识别的传输PAT。在截止日期前，所有者主动申请保留的令牌除外。

再次强调，如果您未收到上述邮件，则您的账户上没有任何PAT通过此流程被传输。因此，您的账户未暴露于该漏洞，无需采取任何行动。

我们正在做出的更改

立即修复已完全移除了通过转换传输PAT的功能。除此之外，我们还采取以下措施：

  • 在将用户指定为组织所有者前，需获得其同意，并在发生时通知他们；
  • 记录所有令牌所有权变更的可审计历史，使此类问题可通过记录直接回答，而非依赖推断；
  • 审查其他可能改变凭证所有权的流程，以确保遵循相同的安全模式。

您可以采取的行动

审查 Docker Hub 账户设置中的个人访问令牌（Personal Access Tokens），在“账户设置”>“个人访问令牌”中撤销任何你不认识或不再使用的令牌。对于属于组织的自动化操作，请使用组织访问令牌（Organization Access Tokens）而非个人 PAT。如对本通知内容有疑问，请通过 app.docker.com/support/contact 联系 Docker 支持团队。

负责任披露机制在研究人员与供应商互为合作伙伴时才能有效运作。Peter 和 Krisztian 在此次事件中正是如此践行，这也让我们的用户更加安全。如果你在 Docker 产品中发现安全问题，请通过 [[email protected]](mailto:[email protected]) 向我们报告。

作者简介

Docker 首席信息安全官 Mark Lechner，Docker 首席安全官

Docker Hub security Products

目录

相关文章