Kritieke kwetsbaarheid in Docker Hub stelt aanvallers in staat tot impersonatie
In het kort
- Kritieke kwetsbaarheid in Docker Hub stelt aanvallers in staat om als andere gebruikers op te treden.
- Aanvallers konden met een personal access token toegang krijgen tot containerrepositories.
- Docker heeft de kwetsbaarheid snel verholpen en geen bewijs van misbruik gevonden.
- Affected users zijn op de hoogte gesteld en PAT's zijn gedeactiveerd waar nodig.
- Maatregelen zijn genomen om toekomstige overdrachten van PAT's te voorkomen.
Docker heeft een ernstige kwetsbaarheid (CVE-2026-105445) in Docker Hub onthuld, waardoor aanvallers toegang konden krijgen tot de containerrepositories van andere gebruikers via een personal access token (PAT). Docker Hub fungeert als een online register voor het opslaan, delen en downloaden van containerafbeeldingen, die alles bevatten wat nodig is voor een applicatie om in een geïsoleerde omgeving te draaien.
Een PAT in Docker Hub dient als een geheim voor authenticatie van tools en workflows, waarmee gebruikers containerafbeeldingen kunnen ophalen, uploaden of verwijderen. De kwetsbaarheid stelde aanvallers in staat om een account en PAT aan te maken, dit account om te zetten naar een organisatie en een doelgebruiker als eigenaar aan te wijzen.
De kwetsbaarheid is ontstaan doordat Docker Hub een PAT opnieuw toewijst aan een aangewezen organisatie-eigenaar zonder het geheim te wijzigen of toestemming van de doelgebruiker te verkrijgen. Hierdoor kon de aanvaller het token gebruiken om zich als de doelgebruiker te authenticeren, wat hen in staat stelde om afbeeldingen in de repositories van het doelwit te manipuleren.
Docker heeft de kwetsbaarheid als kritiek geclassificeerd, omdat het een risico vormt voor de softwareleveringsketen. De aanvaller kon, afhankelijk van de reikwijdte van het token en de machtigingen van het doelwit, afbeeldingen ophalen, uploaden of verwijderen in de repositories van het doelwit en in organisaties waar het doelwit toegang toe had.
De kwetsbaarheid werd geïntroduceerd op 26 augustus 2024 en werd op 30 september 2026 gemeld. Docker bevestigde het probleem en implementeerde binnen vier uur een oplossing. Hoewel de kwetsbaarheid kritiek was, bleek uit het onderzoek dat er geen bewijs was van misbruik.
Gebruikers die niet zijn geïnformeerd, kunnen ervan uitgaan dat ze niet zijn getroffen. Docker heeft inmiddels maatregelen genomen om PAT's niet meer over te dragen tijdens de conversie en vraagt nu om toestemming van gebruikers voordat ze als organisatie-eigenaar worden aangewezen.
Lees het origineel bij bleepingcomputer.com
Dit stuk is geschreven op basis van het originele artikel bij BleepingComputer. De feiten komen daarvandaan; de tekst is van de redactie van RedFlare, geschreven met hulp van AI.
Docker kwetsbaarheid beveiliging
Waarom dit op het overzicht staat: De kwetsbaarheid in Docker Hub heeft directe implicaties voor de beveiliging van containeromgevingen, wat essentieel is voor organisaties die met AI werken.
Reacties
Nog niemand. Wees de eerste.
Meepraten?
Reageren kan met een account. Dat houdt de rommel buiten de deur en zorgt dat je elkaar herkent in een gesprek.