Docker Fixes Critical Two-Year-Old Hub Flaw That Let One User Push Images as Another
The Hacker News · 13 oct, 20:03
Docker Hub corrigió el 30 de septiembre un fallo crítico de dos años que permitía a un usuario hacer push, pull o eliminar imágenes como otro usuario. El fallo residía en la función de conversión de cuentas personales a organizaciones, que transfería los tokens de acceso personal (PAT) sin validar al propietario designado. Docker no encontró evidencia de explotación en la naturaleza.
El fallo (CVE-2026-105445, CVSS 9.4) estaba abierto desde el 26 de agosto de 2024. Cuando un usuario convertía su cuenta personal en una organización y designaba a otro usuario como propietario, los PAT se transferían sin cambiar su secreto, permitiendo al atacante usar el token como la cuenta designada. El propietario designado no recibía notificación de confirmación, contrario a lo que afirmaba la interfaz de conversión.
El acceso se limitaba al registro (pull, push, eliminar imágenes) y no afectaba la interfaz web de Docker Hub ni permitía cambiar contraseña o configuración de autenticación. Docker revisó todas las conversiones de cuentas, registros y tokens, analizando aproximadamente 304.000 pushes realizados con tokens transferidos. El 2 de octubre notificó a usuarios afectados y el 8 de octubre desactivó los tokens identificados. Los investigadores Peter Molnar y Krisztian Hozak (mptrdev.com) reportaron el fallo, que denominaron GhostPat.
Puntos clave
- Fallo abierto desde agosto 2024 hasta septiembre 2026, casi dos años
- PAT transferidos permitían push, pull y eliminación de imágenes en repositorios del propietario designado
- Sin evidencia de explotación; Docker revisó 304.000 pushes sin encontrar malware
- Usuarios afectados notificados el 2 de octubre; tokens desactivados el 8 de octubre
- Recomendación: revisar PAT, revocar desconocidos y usar tokens de organización para automatización