Docker Hub: פגם קריטי בהמרת חשבון לארגון העביר טוקני גישה לבעלים אחר

Docker תיקנה פגם קריטי ב-Docker Hub, בשם GhostPat (CVE-2026-105445), שבו המרת חשבון אישי לארגון העבירה את טוקני הגישה האישיים (PAT) של החשבון למשתמש שהוגדר כבעלי הארגון. התיקון בצד השרת, ואין צורך בעדכון אצל הלקוח.

מה קרה

תוקף יכול היה ליצור טוקן, להמיר את החשבון שלו לארגון ולמנות קורבן כבעלים. סודות הטוקן נשארו זהים, ולכן הזהות של הבעלים החדש התקבלה בעת פנייה ל-registry. הגישה הוגבלה ל-registry: משיכה, דחיפה ומחיקה בהתאם להרשאות הטוקן, ללא ממשק הווב, סיסמאות, 2FA או השתלטות על חשבון. החשיפה נמשכה מ-26 באוגוסט 2024 עד התיקון.

החוקרים Peter Molnar ו-Krisztian Hozak מ-mptrdev.com דיווחו, ולדברי Docker התיקון נפרס פחות מארבע שעות אחרי הדיווח. Docker בדקה כ-304 אלף דחיפות שבוצעו בטוקנים שהועברו, וכולן הלכו לארגון שהומר או לבעליו הנקוב. תוצאות בדיקת משיכות ומחיקות לא דווחו.

נקודות לשים לב

• אם לא קיבלת מייל מ-Docker, לדבריה לא היית חשוף. ב-8 באוקטובר Docker ביטלה את הטוקנים שזוהו, מלבד אלה שהבעלים ביקשו להשאיר.
• היכנס ל-Account settings ← Personal access tokens, בדוק תאריכי יצירה ושימוש אחרון ובטל טוקנים שלא יצרת או שאינך משתמש בהם.
• ארגון לא מוכר ב-account switcher הוא סימן אזהרה.
• לאוטומציה ארגונית השתמש ב-organization access tokens ולא בטוקן אישי; הם דורשים מנוי Team או Business.
• בעלי ארגונים יכולים לבדוק היסטוריית דחיפות ב-activity logs (30 יום ב-Docker Home, ישן יותר דרך ה-API). Docker מחייבת כעת הסכמה לפני מינוי בעלים.

מקורות: The Hacker News · Docker Security Advisory