Docker dicht kritiek beveiligingslek in Docker Hub-identiteitsbeheer

Mechanisme van de kwetsbaarheid

Het beveiligingslek ontstond op 26 augustus 2024 bij het introduceren van een functie waarmee persoonlijke accounts geconverteerd kunnen worden naar organisaties. Tijdens dit proces kon de initiatiefnemer een andere Docker Hub-gebruiker aanwijzen als de nieuwe eigenaar van de organisatie.
Door een fout in de logica werden de bestaande Personal Access Tokens (PAT's) van het te converteren account automatisch toegewezen aan deze nieuwe eigenaar, zonder dat het token ge-rotateerd of ingetrokken werd. Bovendien werd de beoogde eigenaar niet om bevestiging gevraagd en ontving deze geen melding.

Hierdoor kon een kwaadwillende een token aanmaken op een eigen account, het account converteren naar een organisatie met een doelwit als eigenaar, en vervolgens met de oorspronkelijke secret authenticeren op de registry onder de identiteit en rechten van het doelwit. Binnen die rechten kon een aanvaller mogelijk image-bestanden pushen, pullen of verwijderen. Het lek bood geen toegang tot de webinterface van Docker Hub en maakte het niet mogelijk om wachtwoorden, e-mailadressen of tweefactorauthenticatie te wijzigen.

Geen misbruik aangetroffen

Na het uitrollen van de patch heeft Docker alle accountconversies geanalyseerd die sinds augustus 2024 zijn uitgevoerd. In totaal zijn zo'n 304.000 image-pushes onderzocht. Docker meldt geen aanwijzingen te hebben gevonden dat het lek actief is misbruikt door kwaadwillenden. Alle pushes met overgedragen tokens belandden in de eigen repositories van de betrokken accounts, wat past bij regulier gebruik door teams en individuele ontwikkelaars. Ook statische analyses van publieke beelden brachten geen schadelijke software, cryptominers of manipulaties aan het licht.

Maatregelen voor gebruikers en platformaanpassingen

Op 2 oktober 2026 heeft Docker per e-mail contact opgenomen met alle gebruikers en organisatiebeheerders die mogelijk geraakt zijn door het lek. Op 8 oktober zijn alle overgedragen PAT's geforceerd gedeactiveerd, behalve wanneer accounts expliciet hadden verzocht deze te behouden. Gebruikers die geen e-mail hebben ontvangen, zijn volgens Docker niet blootgesteld aan het risico.

Als vervolgstap heeft Docker de overdracht van PAT's bij accountconversies permanent verwijderd. Verder voert het bedrijf wijzigingen door in het platform:

• Gebruikers moeten expliciet toestemming geven voordat zij als eigenaar van een nieuwe organisatie kunnen worden aangewezen.
• Er wordt een auditbare historie bijgehouden van alle eigendomswijzigingen van tokens.
• Vergelijkbare processen rondom rechtenoverdracht worden opnieuw geëvalueerd.

Docker adviseert IT-teams en beheerders om actieve Personal Access Tokens in te zien via de accountinstellingen en onbekende of ongebruikte tokens direct in te trekken. Voor geautomatiseerde processen binnen organisaties raadt de leverancier het gebruik van specifieke Organization Access Tokens aan boven persoonlijke tokens van individuele medewerkers.