Docker Hub : une faille permettait d'usurper l'identité d'utilisateurs pour modifier leurs images

Docker a publié le 12 octobre 2026 un avis sur CVE-2026-105445, une faille de Docker Hub qu'il juge critique. Elle a existé du 26 août 2024 au 30 septembre 2026. Elle permettait à un attaquant d'agir sur le registre au nom d'un autre utilisateur, et donc potentiellement de publier des images piégées sous un nom légitime. Docker dit n'avoir trouvé aucune trace d'exploitation.

Le mécanisme

Lorsqu'un compte personnel était converti en organisation, ses jetons d'accès personnels (PAT) étaient transférés à la personne désignée comme nouveau propriétaire. Le secret n'était pas renouvelé, et cette personne n'était ni consultée ni prévenue. Un attaquant pouvait donc créer un compte, générer un jeton, convertir le compte en organisation et désigner sa cible comme propriétaire. Il gardait alors un jeton qui agissait comme la cible sur le registre.

Selon les droits du jeton et de la victime, l'attaquant pouvait télécharger, publier ou supprimer des images dans les dépôts de la cible et dans les organisations auxquelles elle avait accès. Il n'avait en revanche pas accès à l'interface web et ne pouvait modifier ni le mot de passe, ni l'adresse e-mail, ni la double authentification.

Correction et enquête

Les chercheurs Peter Molnar et Krisztian Hozak ont signalé la faille le 30 septembre. Docker l'a corrigée le jour même, en moins de quatre heures selon son calendrier. Les utilisateurs exposés ont été prévenus par e-mail le 2 octobre, et les jetons transférés ont été désactivés le 8 octobre, sauf si leurs propriétaires avaient demandé à les garder. Docker a examiné environ 304 000 envois d'images faits avec ces jetons : tous ont abouti dans les dépôts de l'organisation convertie ou dans ceux du nouveau propriétaire. L'éditeur a aussi analysé, sans les exécuter, les images publiques les plus sensibles, sans y trouver de code malveillant. Il précise que ses journaux ne gardent aucune trace des jetons jamais utilisés.

Que faire ?

• Si vous n'avez pas reçu l'e-mail de Docker du 2 octobre, votre compte n'était pas exposé, selon l'éditeur.
• Dans tous les cas, passez en revue vos jetons (Account settings, puis Personal access tokens) et révoquez ceux que vous ne reconnaissez pas ou n'utilisez plus.
• Pour l'automatisation, préférez les jetons d'organisation aux jetons personnels.
• Pour vos images critiques, vérifiez les empreintes (digests) et envisagez de signer vos images.