Kritikus Docker Hub-sebezhetőség miatt személyes tokenek kerülhettek át

A hiba a fiók szervezetté alakításakor jelentkezett

A Docker Hub lehetővé teszi, hogy egy személyes fiókot szervezetté alakítsanak. Erre azért lehet szükség, mert a szolgáltatásban nincs lehetőség egy tároló egyik fiókból a másikba helyezésére. Az átalakítás így megtartja például az alice/app hivatkozást, miközben a tároló szervezeti tulajdonba kerül.

A Docker közleménye szerint 2024. augusztus 26-tól az átalakítás a fiók személyes hozzáférési tokenjeit, vagyis a PAT-okat is hozzárendelte az új szervezet tulajdonosaként megnevezett Docker Hub-fiókhoz. A token tulajdonosának rekordja megváltozott, a titkos tokenérték azonban nem változott és nem is vonták vissza. A megnevezett tulajdonostól ehhez nem kértek megerősítést, és értesítést sem kapott.

Ez lehetővé tette, hogy egy támadó létrehozzon egy fiókot, PAT-ot generáljon rajta, majd a fiókot szervezetté alakítsa, és célpontként egy másik felhasználót nevezzen meg tulajdonosnak. A támadónál maradt a token titka, miközben a token a célpont jogosultsági körével működött tovább.

Kritikus kockázatot jelentett a rendszerleíró szintű hozzáférés

A Docker szerint az átruházott PAT a token hatókörén belül a célpontként megjelölt felhasználóként hitelesített a rendszerleíróban. Ez elvileg lehetővé tehette képek letöltését, feltöltését vagy törlését a célpont tárolóiban, illetve azokban a szervezetekben, amelyekhez a célpont hozzáfért.

Mivel így jogos felhasználónév alatt is közzé lehetett volna tenni képeket, a Docker szoftverellátási láncot érintő kockázatként kezelte a hibát, és kritikus besorolást adott neki. A sebezhetőség ugyanakkor nem biztosított hozzáférést a Docker Hub webes felületéhez. Nem lehetett vele megváltoztatni a célpont jelszavát, e-mail-címét vagy kétlépcsős hitelesítési beállításait, és a fiók átvételére sem adott lehetőséget.

A kitettségi időszak 2024. augusztus 26-án, 20:33 UTC-kor kezdődött, és 2026. szeptember 30-án, körülbelül 19:10 UTC-kor ért véget, amikor a javítás élesedett.

A Docker nem talált kihasználásra utaló bizonyítékot

A hibát Peter Molnar és Krisztian Hozak, az mptrdev.com kutatói jelentették szeptember 30-án a Docker hibabejelentő programján keresztül. A Docker kevesebb mint négy órán belül reprodukálta a problémát, elkészítette a javítást, majd élesítette azt. A módosítás megszüntette a PAT-ok átvitelét a konverzió során.

A vállalat ezt követően minden, 2024. augusztus 26. óta végrehajtott fiókátalakítást megvizsgált. A vizsgálat részeként körülbelül 304 000, átruházott tokennel végrehajtott feltöltést ellenőriztek. A Docker nem talált bizonyítékot a sebezhetőség kihasználására. Minden ilyen feltöltés vagy az átalakított szervezet saját tárolóiba, vagy az új tulajdonos saját tárolóiba került, és egyetlen feltöltés sem érintett független felhasználói vagy szervezeti fiókot.

A nyilvános képek magasabb kockázatúnak ítélt részét statikusan is elemezték. Nem találtak kártevőt, kriptobányászt, parancs- és vezérlési tevékenységet, hitelesítőadat-gyűjtést, perzisztenciát vagy manipulációt. A Docker saját infrastruktúrájának és szolgáltatásainak érintettségére sem találtak bizonyítékot. A vállalat ugyanakkor közölte, hogy a naplók csak a token használatát rögzítik, ezért egy soha fel nem használt átruházott token nem hagyott volna nyomot. Emiatt minden, az érintett időszakban áthelyezett PAT-ot potenciálisan érintettként kezeltek.

Értesítették az érintetteket, és további védelmet vezetnek be

A Docker október 2-án e-mailt küldött annak a korlátozott számú felhasználónak, akinek a fiókja átruházott PAT-ot kapott. Az üzenetek felsorolták az érintett tokeneket azok leírásával és létrehozási dátumával, a kapcsolódó szervezetek tulajdonosait pedig külön értesítették. Október 8-án deaktiválták az azonosított, átruházott tokeneket, kivéve azokat, amelyeket tulajdonosuk a határidő előtt megtartásra jelölt.

A Docker szerint akinek nem érkezett meg a „Docker Hub Vulnerability Identified & Resolved” tárgyú e-mail, annak fiókja nem volt kitéve ennek a hibának, és nincs teendője. A vállalat azt javasolja, hogy a felhasználók a Docker Hub Account settings, Personal access tokens részében ellenőrizzék tokenjeiket, és vonják vissza azokat, amelyeket nem ismernek vagy már nem használnak. Szervezeti automatizáláshoz szervezeti hozzáférési tokenek használatát ajánlja a személyes PAT-ok helyett.

A javítás mellett a Docker hozzájárulást fog kérni attól a felhasználótól, akit szervezeti tulajdonosként neveznek meg, és értesíti is erről. A tokenek tulajdonosváltásairól auditálható előzményt vezetnek be, valamint további, hitelesítőadat-tulajdonjogot módosító folyamatokat is átvizsgálnak.