Docker reveló una vulnerabilidad crítica (CVE-2026-105445) en Docker Hub que permitía a atacantes acceder a repositorios de otros usuarios mediante la manipulación de tokens de acceso personal (PAT). El fallo permitía suplantar la identidad de un usuario para descargar, subir o eliminar imágenes, representando un riesgo para la cadena de suministro de software. Docker ya desplegó la corrección, desactivó los tokens afectados y confirmó que no hay evidencia de que el fallo haya sido explotado.



Docker ha revelado una vulnerabilidad crítica (CVE-2026-105445) en Docker Hub que permitía a los atacantes acceder a los repositorios de contenedores de otro usuario mediante un token de acceso personal (PAT).

Docker Hub es un registro en línea para almacenar, compartir y descargar imágenes de contenedores: plantillas que empaquetan todo lo necesario para que una aplicación se ejecute en un entorno aislado.

En Docker Hub, un PAT sirve como un secreto utilizado para autenticar herramientas y flujos de trabajo. Permite extraer, subir o eliminar imágenes de contenedores.

Según un boletín de seguridad del equipo de Docker, un atacante podía crear una cuenta y un PAT, luego convertir la cuenta en una organización y nombrar a un usuario objetivo como su propietario.

El fallo CVE-2026-105445 se deriva de que Docker Hub reasignaba un token de acceso personal (PAT) a un propietario de organización designado sin cambiar su secreto ni obtener el consentimiento del objetivo. Esto permitía al atacante utilizar el token para autenticarse como el objetivo.

Dependiendo del alcance del token y los permisos del objetivo, los atacantes podían extraer, subir o eliminar imágenes en los repositorios del objetivo y en las organizaciones accesibles.

“Dentro del alcance del token, un PAT reasignado actuaba como el usuario objetivo a nivel de registro, lo que significa que un atacante podría potencialmente extraer, subir y/o eliminar imágenes en los repositorios del objetivo y en organizaciones donde el objetivo tenía acceso”, explicó Docker http://www.docker.com/blog/docker-hub-security-advisory-cve-2026-105445/.

“Debido a que esto incluye la publicación de imágenes bajo un nombre legítimo, lo tratamos como un riesgo para la cadena de suministro de software y lo calificamos como crítico”.

Aunque el fallo es crítico, Docker señaló que no proporcionaba acceso web a Docker Hub ni permitía a los atacantes cambiar contraseñas, direcciones de correo electrónico o configuraciones de doble factor, evitando así el bloqueo potencial de los titulares legítimos de las cuentas.

La vulnerabilidad se introdujo el 26 de agosto de 2024, cuando la conversión comenzó a reasignar el PAT de la cuenta personal al nuevo propietario. Esto ocurrió sin revocar ni rotar el secreto, y sin pedir al propietario nombrado que confirmara el cambio.

El 30 de septiembre de 2026, Docker recibió un informe de vulnerabilidad describiendo el problema, lo confirmó y desplegó una corrección en producción menos de cuatro horas después.

Docker afirma que no encontró pruebas de explotación tras examinar 304.000 subidas realizadas con tokens transferidos y analizar imágenes públicas de alto riesgo.

Los usuarios afectados y los propietarios de organizaciones fueron notificados el 2 de octubre, y los PAT transferidos fueron desactivados el 8 de octubre, excepto aquellos cuyos propietarios solicitaron explícitamente conservarlos.

Docker indica que los usuarios que no recibieron una notificación deben asumir que no fueron impactados y que no necesitan tomar ninguna medida.

La plataforma ya no transfiere PAT durante la conversión y solicita el consentimiento del usuario antes de nombrarlo propietario de una organización.

Fuente:
BleepingComputer